Contexte

Un certain nombre de développeurs de logiciels proposent des éditions spéciales de «support à long terme» (LTS) ou de «version de support étendu» (ESR) de leurs produits. Vous installez le produit une fois et obtenez des mises à jour de sécurité pour une période pouvant aller jusqu'à dix ans, sans avoir à passer à la prochaine version majeure du logiciel.

Voici quelques exemples: vous pouvez installer une version de Firefox ESR, puis obtenir des mises à jour de sécurité pour la version pendant environ un an. Ou vous pouvez installer une version d'Ubuntu LTS puis obtenir des mises à jour de sécurité pour cette version pendant cinq ans.

Malheureusement, Google ne propose pas une édition spéciale de support à long terme d'Android. Les correctifs de sécurité sont rétroportés vers la version Android de votre appareil jusqu'à ce que Google cesse de les rétroporter. Ces versions Android corrigées sont intégrées dans de nouvelles images de micrologiciel pour votre appareil jusqu'à ce que le fabricant de votre appareil ou le constructeur de ROM tiers cesse de créer de nouvelles images.

(Par exemple, il semble qu'Android 6.0.1 "Marshmallow" reçoive toujours des correctifs de sécurité. Les dernières versions d'Android 6.0.1 sont android-6.0.1_r56 à android-6.0.1_r63. Chacune de ces huit versions d'Android a été publiée sur le même jour: le 1er août 16. Chacun des huit a été conçu pour prendre en charge un ensemble différent d'appareils Nexus . Les fabricants d'appareils peuvent choisir n'importe lequel des huit, puis le porter sur d'autres appareils Android. il semble que Android 5.1.1 "Lollipop" reçoive également des correctifs de sécurité. La dernière version est android-5.1.1_r38, qui a été publiée le 19 juillet 16; elle peut également être connue sous le code de construction LMY49M.)

iOS

Apple a tendance à prendre en charge les appareils iOS pendant trois à cinq ans après leur sortie initiale. (Source.) Ils livrent à la fois de nouvelles fonctionnalités (qui ralentissent votre appareil, vous encourageant ainsi à mettre à niveau) et des mises à jour de sécurité. Mais je veux un appareil plus ouvert et extensible qu'un appareil Apple.

Ma question

Si j'achète un téléphone portable Android aujourd'hui et que je souhaite obtenir des mises à jour de sécurité pour lui autant d'années que possible, comment choisir?

(Les mises à jour de sécurité mensuelles sont agréables, mais aujourd'hui, je ne pose pas de questions sur les mises à jour de sécurité mensuelles. Ma question n'est pas de savoir quels téléphones Android reçoivent les mises à jour de sécurité le plus fréquemment. après l'achat - même si je dois attendre six ou douze mois entre les mises à jour.)

Veuillez ne pas recommander une marque et un modèle spécifiques de téléphone portable et laissez-les. Une telle réponse serait utile aux lecteurs aujourd'hui, mais pas aux lecteurs qui verront cette question dans quelques années. Au lieu de cela, dites-moi comment comparer moi-même les produits. Dans quelle mesure est-il important pour moi de choisir un appareil le plus vendu? Est-il important que j'achète un téléphone de milieu de gamme (100 à 200 USD sans contrat) ou un téléphone haut de gamme (600 à 800 USD sans contrat)? Dois-je choisir le matériel des fabricants qui intègrent leurs pilotes dans le noyau Linux , et si oui, de quels fabricants s'agit-il? Quels autres critères dois-je utiliser pour faire mon choix?

Veuillez supposer que je suis prêt à télécharger et installer des ROM personnalisées afin d'obtenir des mises à jour de sécurité, mais que je ne suis pas prêt à compiler quoi que ce soit moi-même.

Je sais que vous ne pouvez pas prédire l'avenir avec une précision parfaite. Veuillez faire de votre mieux.

L'organisation néerlandaise de consommateurs reteste régulièrement leurs smartphones pour les mises à jour: https://www.consumentenbond.nl/acties/updaten/ruim-een-derde-smartphones-heeft-sterk-verouderde-veiligheidsupdate

La liste est essentiellement: les téléphones Google Nexus / Pixel (~ 3 ans), Nokia / HMD Global, le produit phare de l'année dernière (& this ..) Samsung (~ 1,5 ans), le produit phare de cette année, Sony Xperia.

(Ces téléphones avaient la mise à jour de février 2018 début mars)

En attendant, les iDevices sont mis à jour pendant 5 ans maximum (4 ans + mises à jour de sécurité jusqu'au prochain iOS). Cela les rend moins chers d'une année sur l'autre pendant la durée de vie du téléphone. Veuillez consulter les feuilles de calcul "Amortissement" et "Sources" dans ce classeur Google Sheets .

Modular peut offrir un soutien officiel à long terme

Les téléphones modulaires ne sont pas tout à fait prêts aujourd'hui, comme celui du projet Ara . Sachez que le calendrier pour les téléphones modulaires a déjà glissé au fil des ans, donc je traiterais toujours les dates comme discutables. En raison de leur nature modulaire, on s'attend à ce qu'ils continuent d'être pris en charge pendant une longue période.

Mise à jour: le projet Ara a été supprimé peu de temps après avoir écrit cette réponse. VentureBeat a une histoire sur le projet Ara et les difficultés des téléphones modulaires .

Support non officiel

Sans support officiel, vous essayez essentiellement de prédire l'avenir des téléphones qui auront une base d'utilisateurs suffisamment enthousiastes pour prendre en charge les téléphones. Il n'y a aucun matériel simple ou critère basé sur le prix que vous pouvez utiliser pour ce faire.

Si vous voulez quelque chose aujourd'hui, je recommanderais un appareil Nexus. Mis à part les mises à jour garanties, celles-ci semblent avoir suffisamment de suivis dans la communauté pour que des ROM personnalisées soient disponibles des années après la fin du support officiel. Cependant, ne vous attendez pas à ce que les mises à jour soient publiées en temps opportun, car les gens fournissent essentiellement cela hors de leur temps de bénévolat. J'ai un Galaxy Nexus (maguro), par exemple, qui est sorti en 2011. Les dernières versions de maguro Cyanogenmod sont:

1. cm-13.0-20160820
2. cm-13.0-20160816
3. cm-12.1-20160719
4. cm-11-20150626

J'ai été surpris de voir une mise à jour de la ligne 12.x le mois dernier car cela faisait si longtemps depuis la dernière mise à jour. J'ai fini par revenir à la version 20150626 à des fins de développement car la vidéo sur 12.x avait des problèmes, alors sachez également que les ROM personnalisées ne peuvent pas fonctionner comme par magie avec du matériel moins performant.

Le fait d'avoir du matériel inhabituel n'a pas dissuadé les bénévoles motivés de continuer à prendre en charge le Galaxy Nexus, qui possède un processeur Texas Instruments inhabituel. Il y avait des rumeurs selon lesquelles Google avait abandonné le support relativement tôt à cause de cela.

À moins d'entretenir l'appareil vous-même ou de payer quelqu'un pour l'entretenir pour vous, vous devez deviner.

D'autres réponses mentionnent que les distributions du marché secondaire peuvent vous fournir des mises à jour de sécurité. Cela n'est vrai que dans une certaine mesure. Ils intègrent généralement un code de bas niveau (blobs propriétaires) du fabricant et ces pièces ne reçoivent pas de mises à jour après la fin de l'assistance du fabricant.

Il en va de même pour les bogues du micrologiciel des composants matériels. (par exemple Broadpwn)

postmarketOS essaie de résoudre ces problèmes avec une distribution GNU / Linux pour téléphones et firmware open source .

Votre meilleure option serait d'acheter un téléphone Google Nexus. Étant donné que Google est le développeur d'Android, les téléphones Nexus reçoivent d'abord les mises à jour.

Un exemple de leurs mises à jour est le patch Stagefright. Le plus ancien téléphone ayant obtenu le correctif de sécurité était le Nexus 4. Le téléphone a été publié en 2012 et a toujours reçu la mise à jour. Les téléphones Nexus qui n'ont pas reçu la mise à jour de Google l'ont obtenue de développeurs de ROM tiers - les téléphones de Google semblent attirer les développeurs.

Au moment d'écrire ces lignes, le dernier téléphone Nexus est le Nexus 6P .

Liste des dates de fin de prise en charge des téléphones Google:

• Nexus 6P septembre 2017
• Nexus 5X septembre 2017
• Nexus 9 octobre 2016
• Nexus 6 octobre 2016
• Nexus 5 octobre 2015
• Nexus 7 (2013) juillet 2015
• Nexus 4 novembre 2014
• Nexus 10 novembre 2014
• Nexus 7 (2012) juin 2014

La fin des correctifs de sécurité n'est pas garantie à ces dates, mais il est très possible qu'ils le fassent.

( Source )

Liste des vulnérabilités corrigées transmises via OTA aux appareils Nexus (stagefright):

• CVE-2015-3873
• CVE-2015-3872
• CVE-2015-3871
• CVE-2015-3868
• CVE-2015-3867
• CVE-2015-3869
• CVE-2015-3870
• CVE-2015-3823
• CVE-2015-6598
• CVE-2015-6599
• CVE-2015-6600
• CVE-2015-3870
• CVE-2015-6601
• CVE-2015-3876
• CVE-2015-6604

( Source )

En ce qui concerne Android, les fabricants qui sont actuellement les plus vigilants à mettre à jour le système d'exploitation de leurs derniers modèles en temps opportun sont Google dans ses collaborations Nexus et Motorola dans sa gamme Moto.

Une fois que les fabricants ont terminé leurs mises à jour, la communauté continue de produire des ROM personnalisées pour les modèles populaires. Peut-être le plus large ensemble de roms personnalisés, CyanogenMod (CM) prend toujours en charge les anciens appareils tels que le Galaxy S2, bien qu'avec certaines limitations . La capacité à prendre en charge les anciens modèles dépend fortement de la publication des codes source par les fabricants et (à quelques exceptions près) il semble que les codes source des appareils Snapdragon soient publiés plus souvent que les codes source des appareils Exynos.

Une liste des appareils des principaux fournisseurs pris en charge par la dernière version de CM (13) peut être trouvée ici et elle peut vous fournir une perspective sur la façon dont les appareils sont pris en charge par la communauté à long terme.

En combinant ces deux perspectives, je dirais que les appareils Nexus offrent le meilleur support de stock à court terme. Cependant, vous pouvez souvent trouver des téléphones phares avec de meilleures spécifications qui bénéficieront du même support communautaire à long terme. Vous voudrez peut-être éviter les appareils Exynos.

Optez pour un appareil phare au lieu d'un appareil milieu de gamme ou bas de gamme. Les fleurons (et certains autres modèles populaires) ont généralement tendance à être soutenus par la communauté pendant longtemps. J'ai un Samsung Galaxy S3 (d2tmo) qui est sorti il ​​y a près de 4,5 ans et il est toujours pris en charge par Cyanogenmod. Il a été publié avec Icecream Sandwich et maintenant mis à niveau vers Marshmallow grâce à CM. En fin de compte, le support communautaire dépend du nombre d'utilisateurs actifs.

Google a publié une déclaration quelque part selon laquelle ils ne fourniront officiellement un support que pour 2 ans pour leurs téléphones Nexus et c'est le meilleur que vous puissiez obtenir avec des actions.

Si vous êtes prêt à rouler avec des roms personnalisés. Je pense qu'acheter un téléphone équipé d'un chipset d'un fabricant ayant de bons antécédents en fournissant des pilotes pour une version Android récemment publiée est un bon pari. Qualcomm fournit toujours des pilotes de noyau récents pour tous les Snapdragon 6xx-8xx pour Android 6.0 par exemple, ce qui permet à la communauté comme les forums XDA de s'appuyer sur des roms personnalisées pour tous les téléphones équipés du chipset. Choisissez également une marque / fabricant qui permet le déverrouillage du chargeur de démarrage, par exemple Sony, Motorola. Le chargeur de démarrage verrouillé a un impact sévère sur la communauté en créant des roms personnalisées, ce qui les oblige à créer des exploits ou des solutions de contournement dans l'appareil, ce qui le rend potentiellement instable à utiliser.

Mais mon conseil est de choisir le meilleur téléphone qui remplit la plupart de vos cases à cocher et de vivre avec jusqu'à ce qu'il se casse. Je pense qu'Android est assez sécurisé tel quel.