Fairphone Gen 6 将于下个月在美国发布，搭载不含谷歌服务的 /e/OS 系统。不过，专注隐私的 Android 分支项目 GrapheneOS 的开发团队对该平台提出了一些令人担忧的质疑。负责 /e/OS 的团队近日发表博客回应了这些质疑。
负责 /e/OS 的公司 Murena 在博客中表示，他们非常重视安全问题，但同时也批评 GrapheneOS 的开发者提出了所谓的“误导性说法”。
该团队确认，他们的目标是遵循“行业标准做法”以确保及时推送安全更新：
因此，对于某个月份 N 的发布版本，我们当前的工作流程是整合来自前一个月 N-1 的 Android 安全补丁。结果是，在最坏的情况下，推送最新可用的安全更新可能需要长达九周的时间，但在大多数情况下会更快。
该团队还解释说，对于零日漏洞会例外处理，尽力“尽快”推送相关补丁。团队还发布了一张表格，展示了主要安卓手机厂商在更新延迟方面的对比。这表明，在常规补丁的推送速度上，/e/OS 与一些主要 OEM 厂商保持一致。你可以查看下面的截图。
Murena 对于其在 WebView 浏览器更新方面被指滞后的说法表示强烈不满。该公司表示，最近发布的 /e/OS 3.0.4 更新中已包含两次零日 WebView 修复补丁以及六月的安全补丁级别。值得一提的是，这两次零日漏洞分别在六月初和六月底被披露。
那么，Murena 的下一步计划是什么呢？公司确认将进行一些改进：
Murena 非常重视安全问题，我们在 /e/OS 中集成安全补丁的政策与智能手机行业中的许多移动操作系统厂商相比，甚至在某些情况下更为出色。
然而，作为持续改进努力的一部分，我们决定缩短 /e/OS 每月安全更新的集成时间。因此，我们将逐步更新构建基础设施，以便在安全补丁发布后的几天内及时推送最新的安全更新。
Murena 也将继续发布紧急的 /e/OS 版本，以修复零日安全漏洞。
该公司还驳斥了 GrapheneOS 团队的其他一些说法。首先，Murena 表示 /e/OS 并未隐藏真实的补丁级别，而是“与原生安卓完全一致”地公开了这些信息。GrapheneOS 的开发者则认为 Fairphone Gen 6 缺少安全元件，使得攻击者可以“轻而易举”地通过暴力破解 PIN 码或基础密码。对此，Murena 轻描淡写地回应称，Qualcomm 的安全处理单元（SPU）使得攻击者要破解六位数 PIN 码可能需要“数年时间”。
Murena 还确认其使用开源的 microG 框架来接入部分谷歌服务（如推送通知），但用户也可以将谷歌的通知服务替换为 UnifiedPush 平台。值得注意的是，microG 是一个历史悠久且广受欢迎的谷歌 Play 服务替代方案，使用户能够使用谷歌的应用和服务。该框架在定制 ROM 设备和通常缺乏谷歌服务的华为手机上尤为实用。因此，如果想在去谷歌化的平台上让用户使用部分谷歌应用，集成 microG 是一个明智的选择。
显然，Murena 和 Fairphone 在安全实践方面还有改进空间。不过，并非所有安卓分支都将安全和隐私放在同等优先级。幸运的是，安卓生态的灵活性使得你可以根据需求切换不同的安卓界面、分支或定制 ROM。无论如何，你可以阅读该 /e/OS 团队的完整博客文章，了解更全面的回应。