Google Project Brillo: IoT-Android wird sicherer als Smartphone-Android

Google krempelt die Zusammenarbeit mit Herstellern für sein Internet-of-Things-System Brillo im Vergleich zu Android völlig um. So gibt es nur einen Linux-Kernel, der langfristig Updates erhalten soll. Die Geräte müssen zudem mehr als fünf Jahre lang gepflegt werden, was die Sicherheit erhöhen soll.

Artikel veröffentlicht am 18. November 2016, 12:54 Uhr, Sebastian Grüner

Brillo soll einen Einheitskernel für alle Geräte mit dem System nutzen. (Bild: Google)

Vor rund eineinhalb Jahren hat Google mit Brillo ein System für Geräte des Internet-of-Things (IoT) vorgestellt, das in Teilen auf Android basieren soll. Damit die Sicherheit der Geräte, die mit Brillo laufen, nicht zu einem Totalausfall wie bei einigen Android-Smartphones wird, die teilweise keine zwei Jahre gepflegt werden, hat das Kernel-Team von Brillo einige sehr strikte Regeln für die Partnerhersteller der Geräte erstellt.

Seltene, weil schwierige Updates

Das berichtet das Magazin LWN.net in seiner Zusammenfassung des Vortrages von Kees Cook auf der Linux Plumbers Conference. Cook ist einer der treibenden Kräfte des Kernel Self Protection Project (KSPP), das den Linux-Kernel um Sicherheitstechniken erweitert, um bestimmte Angriffsarten zumindest zu erschweren. Allerdings wird die Sicherheit von bisher handelsüblichen Embedded-Geräten für das IoT dadurch nicht unbedingt besser.

Denn üblicherweise erweitern die Hersteller den auf den Geräten eingesetzten Linux-Kernel durch Patches aus verschiedenen Zweigen und ihren eigenen oder gar von externen Hardware-Partnern eingekauften Code. Sicherheitspatches müssen deshalb oft mit großem Aufwand eingepflegt werden, Updates auf neue Kernel-Versionen finden fast nie statt.

Canonical-Chefin Jane Silber bezeichnete diese Art System im Gespräch mit Golem.de als "verrücktes Bastel-Linux" und die derzeit größte Konkurrenz für Ubuntu. Doch auch Google hat ein massives Problem mit dieser Herangehensweise an die Produktentwicklung, da genau so für fast jedes Android-Telefon vorgegangen wird, weshalb diese oft nur sehr kurz gepflegt werden und sehr selten System-Updates erhalten. Auch für die wohl von HTC eingekauften Pixel-Smartphones von Google verspricht das Unternehmen nur drei Jahre Updates ab Verkaufsstart. Wohl weil das mit dem zugrundeliegenden Kernel und seinen vielen Veränderungen nicht anders machbar ist.

Brillo räumt den Kernel auf und nutzt LTS

Für Brillo will Google dieses Vorgehen jedoch ändern, was die Sicherheit und Lebensdauer der Geräte vermutlich massiv verbessern wird. So gebe es für Brillo nur einen gemeinsamen Kernel für alle Hersteller, der Patches aus Android und, falls nötig, einige der Hersteller enthält. Für die Aufnahme zugelassen seien hier nur jene Hersteller-Patches, die bereits im Hauptentwicklungszweig von Linux aufgenommen oder wenigstens für die Aufnahme vorgeschlagen worden sind.

Das Team habe zudem die Anzahl seiner eigenen Patches von über 600 aus dem Basis-Android auf nur rund 150 für Brillo reduzieren können. Der Auswertung von Cook zufolge gibt es derzeit nur noch sehr wenige Patches, die von einem Hersteller stammen und direkt im Brillo-Kernel integriert werden, ohne zuvor in den Hauptzweigen zur Verfügung zu stehen.

Als Grundlage für Brillo soll zudem die Kernel-Version dienen, welche von Kernel-Maintainer Greg Kroah-Hartman offiziell Langzeitpflege erhält (LTS). Die Patches für einen LTS-Zweig könnten so leicht übernommen werden. Außerdem wird Brillo auf neue LTS-Kernel wechseln, sobald diese verfügbar sind. Ein Update von Version 4.1 auf Version 4.4 habe das Team bereits erfolgreich absolviert.

Echte Langzeitgarantie für Brillo-Geräte

Laut Cook betreibe Google diesen Aufwand, da die Brillo-Geräte mindestens fünf Jahre nach ihrem offiziellen Verkaufsende noch Updates erhalten müssen. Daraus ergeben sich bei Brillo je nach Hersteller vielleicht Produktlaufzeiten mit Updates von sieben Jahren oder gar mehr. Für IoT-Geräte ist das sicher sinnvoll, für Android-Smartphones aus heutiger Sicht aber ein geradezu illusorischer Wert.

Der Plan von Google sollte dementsprechend noch mit einiger Skepsis betrachtet werden. Doch Cook bekräftigt, dass die bisher an Brillo beteiligten Hersteller dem Plan sehr zugewandt seien und aktiv an der Umsetzung arbeiten. Ebenso erscheint das Ziel nicht besonders unrealistisch, immerhin forciert Google eine derartige Zusammenarbeit am Kernel samt offengelegter Patches für seine Chromebooks, die auch bis zu fünf Jahre lang Updates erhalten. Bei den Chromebooks kontrolliert Google aber nicht nur den Kernel, sondern bis auf Apps auch den gesamten Userspace. Ob das auch für Brillo gelten wird, ist zurzeit noch nicht bekannt.