No es la primera vez que ocurre, y desgraciadamente no será la última. Toda compañía se enfrenta tarde o temprano al dilema de destinar recursos para extender el soporte de sus productos más antiguos, o seguir adelante y afectar a miles de usuarios. Google está en esa encrucijada: un nuevo bug en Android 4.3 o anterior afecta al 60 por ciento de los smartphones, pero todo indica que no habrá un parche oficial.
En estos días hemos notado que Google atraviesa un problema serio al reportar y publicar bugs. Su último roce con Microsoft provocó varios disparos en la frontera, pero ahora el problema es interno: Android. A pesar de los esfuerzos de Mountain View, es imposible ocultar los efectos de la fragmentación cuando llega el momento de actualizar. Los OEM y los proveedores son en parte responsables, y sus políticas de updates son un ejemplo de lo que no se debe hacer. Esto ha creado una tormenta perfecta: la mayoría del mercado tiene versiones antiguas de Android en dispositivos que no se pueden actualizar por métodos convencionales. Algunos piensan en builds alternativos como CyanogenMod, pero su instalación es demasiado artesanal y el proyecto no ha logrado simplificar el proceso.
El bug de WebView
La última novedad es un bug en el componente WebView, que renderiza páginas web en el dispositivo, incluso dentro de otras aplicaciones. Está basado en WebKit. En Android KitKat y superiores, WebKit fue reemplazado por Blink, así que el bug no existe. Sin embargo, según las estadísticas oficiales, el 39,1% de los usuarios usa KitKat (Android 5.0 está por debajo del 0,1%), mientras que el 60,9% restante tiene Android 4.3 o anterior. Es decir, más de la mitad del ecosistema Android está expuesto a este bug.
Tod Breasley, desarrollador de Metasploit Framework, mantuvo una comunicación con los administradores de incidentes de Android y confirmaron que no pueden hacer más que notificar a los OEM. Si las versiones afectadas son anteriores a Android 4.4, Google normalmente no desarrolla parches, pero acepta correcciones que acompañen al reporte o que se coloquen en AOSP. Otros componentes aún reciben actualizaciones por back-port, pero WebView pre-KitKat está frito.
La política de Google y el futuro
Una de las razones es que Google ya no certifica dispositivos con el Navegador de Android. Además, no ofrece comentarios públicos sobre vulnerabilidades. La única referencia para los desarrolladores es el mensaje del commit en el código. Ars Technica expone el gran dolor: Google creó una plataforma que no puede actualizar directamente. Los dispositivos oficiales o con la etiqueta Google Play Edition son una fracción del mercado. El resto es bloqueado por OEM y proveedores, que prefieren vender nuevos dispositivos a brindar soporte. Android no tiene un Windows Update. En cuanto a WebView, tres quintos del mercado Android han sido declarados obsoletos. Algo nos dice que la historia no termina aquí.
Ars Technica
