Google推出開源補丁驗證工具Vanir，加速Android安全更新

Google日前發布了一款名為Vanir的開源安全補丁驗證工具，透過靜態程式碼分析技術，協助設備製造商快速識別平台中缺失的安全補丁，大幅提升Android生態系統的安全更新效率。

在Android生態系統中，安全更新一直是個複雜的多階段過程。各家手機製造商需要負責整合安全修補程式，並部署到不同型號、不同Android版本的設備上。這個過程既耗時又需要大量人力投入。

根據Google安全部落格的公告，Vanir採用靜態程式碼分析方法，無需依賴版本號、儲存庫歷史記錄或建置配置等中繼資料，即可掃描自訂平台程式碼，快速識別缺失的安全更新。該工具運用自動化特徵碼優化技術和多重模式分析演算法，確保分析的準確性。

Google表示，Vanir目前已能覆蓋95%的Android、Wear和Pixel設備中已有公開修補的漏洞，準確率高達97%。在Google內部，Vanir已整合進建置系統中，可針對超過1,300個漏洞進行測試，至今已為內部團隊節省超過500小時的修補時間。

值得注意的是，在為期兩年的測試中，Vanir的誤報率僅有2.72%。Google表示，Vanir能在程式碼變更的情況下，有效找出缺失的補丁，同時將不必要的警報和人工審查工作降到最低。

一個實際案例顯示，單一工程師使用Vanir，僅花費五天時間就完成了超過150個漏洞的特徵碼生成，並驗證了下游分支中缺失的安全補丁。

雖然Vanir最初是在今年四月的Android Bootcamp上推出，主要針對Android平台設計，但經過簡單修改後也能應用於其他生態系統和平台。該工具不僅可以作為獨立應用程式使用，也提供Python函式庫形式，讓使用者能將Vanir掃描器函式庫整合到持續建置或測試鏈中。

這項工具的推出，預期將大幅改善Android生態系統中安全更新的效率，協助製造商更快速地識別和部署重要的安全補丁。

本文轉載自darkreading。