Android change sa stratégie de mises à jour de sécurité pour mieux protéger ses appareils

Un changement majeur dans la gestion des mises à jour Android

Sept ans après le scandale Cambridge Analytica, où la sécurité des données sur Facebook avait été sérieusement remise en question, Google opère une révolution dans la façon dont il déploie les mises à jour de sécurité pour ses appareils Android. Jusqu’à présent, Google assurait un déploiement mensuel systématique de correctifs, indépendamment de la gravité des vulnérabilités. Cependant, cette méthode a montré ses limites, car de nombreux appareils recevaient leurs patchs avec retard ou pas du tout, laissant des millions de smartphones vulnérables.

Des experts cités par Android Authority ont souligné que cette situation était principalement due à l’organisation fragmentée de l’écosystème Android, où les constructeurs de smartphones doivent tester et intégrer des dizaines de correctifs chaque mois. Cette surcharge a conduit certains fabricants à privilégier les appareils milieu ou entrée de gamme, laissant d’autres sans mises à jour essentielles, ce qui a permis à des cybercriminels d’exploiter des failles connues.

Une nouvelle approche basée sur le risque

Face à ce problème, Google a décidé de revoir sa méthode et d’organiser les déploiements de correctifs en fonction du niveau de menace. Désormais, seul un certain nombre de correctifs jugés urgents et critiques seront déployés chaque mois. Les autres vulnérabilités, moins graves, seront traitées lors de bulletins trimestriels, regroupant plusieurs correctifs en une seule fois, a expliqué un porte-parole de Google. Cette démarche doit permettre aux fabricants de se concentrer davantage sur la correction des vulnérabilités les plus risquées et d’assurer un déploiement plus large des patchs.

Selon Android Authority, cette nouvelle stratégie a été mise en œuvre dès cet été, mais elle comporte certains risques. Les ingénieurs de GrapheneOS craignent notamment que la communication anticipée sur les vulnérabilités non corrigées puisse être exploitée par des cybercriminels, qui auraient alors plus de temps pour élaborer des attaques.

Impacts et enjeux pour la sécurité des appareils

Pour une majorité d’utilisateurs, cette modification n’aura pas d’effet immédiat, la majorité recevant déjà des mises à jour mensuelles. Cependant, pour les appareils plus anciens, cette nouvelle politique pourrait prolonger la durée pendant laquelle ils recevront des mises à jour, ce qui est une avancée. En contrepartie, cette nouvelle démarche pourrait aussi réduire la réactivité en matière de sécurité, puisque Google ne publie plus le code source des correctifs chaque mois, ce qui limite l’action des développeurs de systèmes Android personnalisés comme les ROM.

En résumé, si cette évolution vise à mieux cibler les correctifs critiques, elle introduit un risque hypothétique de fuite d’informations sensibles sur des vulnérabilités, ce qui pourrait être exploité par des pirates informatiques. Les experts insistent sur la vigilance nécessaire face à cette nouvelle approche, tout en espérant qu’elle renforcera globalement la sécurité des appareils Android en améliorant leur gestion des correctifs critiques, selon Android Authority et 01 Net.