Los fabricantes de dispositivos Android se están saltando parches de seguridad, según un informe

Volvemos a hablar sobre las actualizaciones de seguridad de los dispositivos Android. Si ayer veíamos cómo Google podría separar los parches de seguridad de Android al de los fabricantes ahora vemos con un informe de seguridad dice que los fabricantes se están saltando parches al actualizar sus móviles.

La firma de seguridad Security Research Labs afirma haber estado analizando durante dos años el código fuente de una gran variedad de dispositivos Android de distintas gamas y marcas para comprobar si los fabricantes estaban aplicando todos los parches de seguridad que decía tener la fecha de su actualización, y su estudio dice que no.

No todos los parches de seguridad están llegando

Security Research Labs dice que hay muchos fabricantes que informan a sus usuarios que su dispositivo está actualizado con todos los parches de seguridad de hasta cierta fecha, pero al analizar el código fuente durante estos años han visto que hay parches que no llegan. Que si la actualización mensual oficial incluye 38 parches de seguridad que algunos fabricantes lanzan la actualización con menos parches.

Han comprobado también que algunos fabricantes directamente cambian la fecha de la actualización de seguridad sin instalar ningún parche, quizás por razones de marketing indica SRL, para que el usuario piense que su fabricante actualiza su dispositivo regularmente.

En el estudio se comprobó el firmware de unos 1.200 teléfonos de más de una docena de fabricantes, entre los que se incluyen Google, Samsung, Sony, Motorola, Xiaomi, Sony, LG, Nokia, Huawei, TCL o ZTE.

De las conclusiones de su estudio concluyeron que los móviles de gama baja tenían el récord de parches que decían tener y que luego era mentira, y que en la gama alta también sucedía, pero se perdían pocos parches de seguridad. Por ejemplo, en 2017, Xiaomi, OnePlus o Nokia habrían omitido entre uno o tres parches. TCL y ZTE son de los fabricantes con más parches omitidos.

SRL descubrió que un móvil de Samsung, el Galaxy J5 2016, era honesto al informarle al usuario qué parches había instalado y cuáles le faltaban, mientras que el Galaxy J3 2016 afirmaba tener todos los parches lanzados 2017 pero carecía de 12 de ellos, dos de ellos considerados como "críticos".

Uno de los motivos que apunta el estudio a que los fabricantes hayan omitido algunos parches sean por culpa de los proveedores de chips. Aquí según el estudio los móviles con procesadores Mediatek tenían una media de haberse saltado 9,7 parches, mientras que los móviles con procesador de Samsung apenas se habían saltado parches.

Google responde al estudio

WIRED preguntó a Google por este estudio, y la empresa respondió señalando que algunos de los dispositivos analizados por SRL podrían no haber sido dispositivos certificados con Android, con lo que no estarían sujetos a los estándares de seguridad de Google.

También mencionó que algunos parches pueden faltar en un dispositivo porque el fabricante eliminó directamente esa característica vulnerable en lugar de aplicar el parche, o bien porque directamente no tenía esa característica. Aún así Google informa que están trabajando con SRL Labs para investigar más a fondo sus hallazgos, ya que la seguridad es uno de los principales pilares de Android.

los parches que podrían haber faltado en los dispositivos porque los proveedores de teléfonos respondieron simplemente eliminando una característica vulnerable del teléfono en lugar de aplicarle un parche, o el teléfono no tenía esa característica en primer lugar

Vía | Wired
En Xataka Android | La seguridad en Android en 2017: la instalación de aplicaciones maliciosas descendió más de un 60%