In questo articolo Indice dei contenuti 2 sezioni
Il rilascio di Android 17 QPR1 in versione stabile, arrivato in questi giorni insieme all’ultimo Pixel Drop, ha portato con sé una coda polemica che pochi si aspettavano. A sollevarla sono gli sviluppatori di GrapheneOS, il progetto open source costruito su Android e conosciuto per l’attenzione maniacale a privacy e sicurezza, che accusano apertamente Google di riservare ai Pixel un trattamento di favore. Non solo funzioni nuove in anticipo, ma anche correzioni di vulnerabilità che gli altri produttori e i progetti basati su AOSP si ritrovano ad aspettare, mentre i telefoni di casa Google le hanno già.
Il nodo, più che una questione di funzioni appariscenti, riguarda qualcosa di molto più tecnico e allo stesso tempo molto più delicato. Alcune modifiche alle API introdotte con la nuova QPR non sarebbero state rese disponibili contemporaneamente attraverso l’Android Open Source Project. Secondo il team di GrapheneOS si tratterebbe di una prima volta assoluta, o quasi: mai più dai tempi di Android Honeycomb una release di Android aveva introdotto nuove API tenendole fuori dal codice aperto nello stesso momento.
Le API che mancano all’appello
A dare corpo all’accusa c’è la documentazione ufficiale di Android Developers, che conferma nero su bianco l’esistenza di differenze tra le API di Android 17 e quelle della QPR1. Una discrepanza che sulla carta può sembrare un dettaglio da addetti ai lavori, nella pratica invece blocca il lavoro di chi costruisce sistemi alternativi partendo dal codice aperto.
GrapheneOS sostiene di aver completato il porting del proprio codice su QPR1 ancora prima del rilascio del 15 settembre. Il lavoro, insomma, era pronto. Il problema è che senza accesso alle API tutto si ferma lì, in una specie di limbo. E così il team è finito a lavorare su una strada alternativa, che di elegante ha poco ma di pragmatico parecchio: portare all’indietro su Android 17 il firmware Pixel, i driver del kernel e dello userspace e le componenti HAL presenti nella nuova release. Un lavoro di ricucitura manuale per ottenere quello che, in teoria, avrebbe dovuto arrivare già pronto attraverso AOSP.
Due bollettini di sicurezza, due velocità
C’è poi un secondo fronte, forse anche più spinoso del primo. Gli sviluppatori hanno messo a confronto il bollettino di sicurezza Android di settembre con quello specifico dedicato ai dispositivi Pixel, e le differenze non sono passate inosservate. Il documento riservato ai telefoni Google elenca infatti ulteriori vulnerabilità corrette rispetto a quello generale.
Fin qui, nulla di clamoroso: è normale che un bollettino dedicato a una famiglia di dispositivi contenga fix legati a hardware e software proprietari. Il punto sollevato da GrapheneOS è però un altro. Non tutte quelle correzioni riguardano componenti esclusivi dei Pixel. Alcune toccano parti standard della piattaforma, quelle da cui dipendono anche produttori terzi e i loro smartphone. Tradotto: patch che sistemano problemi comuni a mezzo ecosistema Android arriverebbero prima sui dispositivi Google e solo in un secondo momento su tutti gli altri.
Il risultato è una finestra temporale in cui i telefoni di altri marchi restano esposti a falle già note e già corrette altrove. Per un progetto che ha costruito la propria reputazione proprio sulla sicurezza, come GrapheneOS, la questione non è accademica ma operativa, perché riguarda direttamente la protezione degli utenti che quel sistema lo usano ogni giorno.
Il Pixel Drop di queste settimane, quindi, porta con sé molto più delle novità di interfaccia e delle funzioni promosse in vetrina. Porta una discussione su quanto aperto sia davvero l’Android che finisce sui dispositivi di tutti gli altri, e su quanto pesi il vantaggio strutturale di chi il sistema operativo lo scrive e lo distribuisce sui propri telefoni.
Fonte: TecnoAndroid
