دليل شامل لمكتبات أمن الدولة في نظام أندرويد

إنفورماتيك ديجيتال » أمن » دليل شامل لمكتبات أمن الدولة في نظام أندرويد

بصراحة، يُعدّ الحفاظ على أمان هاتف ذكي يعمل بنظام أندرويد هذه الأيام أمرًا بالغ الصعوبة. فمع تعقيد النظام البيئي، كان المطورون يعتمدون سابقًا على مقياس عام جدًا يُسمى مستوى تصحيح الأمان (SPL)، والذي كان أشبه بمحاولة تحديد مدى أمان منزل بالنظر فقط إلى تاريخ آخر تجديد رئيسي، دون معرفة ما إذا كان قفل الباب الخلفي لا يزال معطلاً.

لسدّ هذه الفجوة المعلوماتية، ظهرت مكتبات AndroidX Security State و Security State Provider . تُعدّ هذه الأدوات نقلة نوعية، إذ توفر رؤية شاملة لكل تفاصيل النظام، مما يُمكّن البرامج من أن تكون مقاومة للهجمات بشكل حقيقي، ويسمح للتطبيقات باتخاذ قرارات ذكية بناءً على أدلة واقعية، وليس مجرد افتراضات، وبالتالي إرساء نموذج انعدام الثقة.

وداعاً للرقعة الواحدة: عصر التجزئة

تكمن المشكلة الرئيسية في الاعتماد على مكتبة أمان واحدة في أن نظام أندرويد يُحدَّث بشكل مجزأ بفضل مشروع Mainline وتحديثات نظام Google Play. ولتبسيط هذا الوضع، تُقسِّم المكتبات الجديدة الأمان إلى ثلاثة أركان: نظام التشغيل الأساسي (الذي يُحدَّث عبر الإنترنت)، ووحدات النظام (التي تُقدَّم عبر Google Play)، ونواة لينكس ، التي تُشكِّل أساس كل شيء، ويُقاس أداؤها باستخدام إصدارات الدعم طويل الأمد (LTS) بدلاً من تواريخ الإصدار الشهرية.

بالنسبة لكل مكون من هذه المكونات، يمكن الرجوع إلى ثلاث حالات مختلفة، مما يعطي صورة كاملة للوضع:

• مستوى ضغط الجهاز (DSPL): يشير ذلك إلى ما هو مثبت ويعمل على الجهاز في تلك اللحظة بالتحديد، دون الحاجة إلى اتصال بالإنترنت.
• تم نشر SPL (PSPL): يمثل هذا الإصدار أحدث نسخة تم نشرها رسميًا في نشرة أمان نظام أندرويد.
• مستوى ضغط الصوت المتاح (ASPL): يكشف هذا ما إذا كان هناك تحديث تم تنزيله بالفعل أو جاهز للتثبيت من خلال آلية الاتصال بين العمليات (IPC).

التحكم في الثغرات الأمنية ومراجعة سجلات الثغرات الأمنية (CVEs)

من أبرز مزايا هذا النظام التكامل مع قاعدة بيانات الثغرات الأمنية مفتوحة المصدر (OSV) . لم يعد هناك مجال للتخمين لتحديد ما إذا كانت رقعة شهرية معينة تعالج ثغرة أمنية محددة؛ إذ أصبح من الممكن الآن تتبع ثغرات CVE المحددة برمجياً .

يُعدّ هذا الأمر كنزًا ثمينًا لتطبيقات التكنولوجيا المالية، والخدمات المصرفية، والرعاية الصحية، إذ يُمكنها تقييد عمليات نقل البيانات عالية القيمة أو الوصول إلى البيانات الحساسة في حال اكتشاف ثغرة أمنية خطيرة في تقنية البلوتوث أو الاتصال قريب المدى (NFC) لا تزال نشطة على الجهاز. على سبيل المثال، قد تسمح ثغرات مثل الكتابة خارج النطاق المسموح به إلى مكتبة libimagecodec.quram.so للمهاجمين عن بُعد بتنفيذ تعليمات برمجية ضارة، ما يحوّل جهازًا قديمًا إلى باب خلفي لاختراق شبكات الشركات.

التنفيذ الفني وتدفق العمل

لتشغيل هذا البرنامج، يجب على المطور إضافة التبعية androidx.security:security-state:1.1.0 في ملف Gradle الخاص بك. عملية التهيئة بسيطة وتتطلب سياق Android، على الرغم من أنه يمكن تحسين السرعة عن طريق تمرير تقرير الثغرات الأمنية بتنسيق JSON مباشرةً إلى المُنشئ. SecurityPatchState.

ينقسم سير العمل عمومًا إلى ثلاثة أنواع من عمليات التحقق:

• عمليات التحقق المتزامنة: تُستخدم هذه الأدوات لفحص DSPL عند بدء تشغيل التطبيق ومقارنته بتاريخ أساسي إلزامي.
• الاستعلامات غير المتزامنة: من خلال fetchAvailableSecurityPatchLevelيمكن للتطبيق إخطار المستخدم بوجود تحديث معلق وإعادة توجيهه إلى الإعدادات.
• عمليات تدقيق معمقة: مع queryAllAvailableUpdates يمكنك تحليل مدى حداثة البيانات ومعرفة أي مزود تحديثات يستجيب.

من المهم ملاحظة أن الدعم يختلف باختلاف إصدار النظام. فبينما يوفر نظام Android 11 والإصدارات الأحدث دعمًا كاملاً، لا يوفر نظام Android 10 دعمًا رسميًا للنواة، وفي الإصدارات 9 والإصدارات الأقدم، حيث لم تكن وحدات Project Mainline موجودة، يُرجع النظام تاريخ Unix (1970-01-01) افتراضيًا.

دور موفر حالة الأمان والميزات الجديدة في نظام Android 17

لكي يعمل هذا النظام برمته، لا بدّ من وجود جهة تُعلن عن توفّر التحديثات. وهنا يأتي دور موفر حالة الأمان ، الذي يُوحّد آلية إبلاغ تطبيقات التحديث إلى موفر حالة الأمان. سابقًا، كانت معلومات التحديثات عبر الهواء (OTA) لكل مُصنِّع محصورة في قواعد بيانات خاصة به؛ أما الآن، فيمكن لأي تطبيق مُصرَّح له الوصول إلى البيانات بغض النظر عن ماركة الهاتف.

علاوة على ذلك، قدم نظام Android 17 تحسينًا قويًا للمصنعين (OEMs) من خلال ملف XML للتصحيحات التكميلية . يتيح هذا لهم الإعلان عن إصلاحاتهم الأمنية المُطبقة دون انتظار الإصدار العالمي لملفات التصحيحات التكميلية، مما يضمن التعرف الفوري على جهود التصحيح الجارية وعدم ظهور الجهاز كعرضة للاختراق حتى بعد تأمينه.

أدوات أخرى في نظام AndroidX الأمني

إلى جانب حالة النظام، توجد مكونات أساسية أخرى. تُعد مكتبة التشفير الأمني ​​ضرورية لإدارة المفاتيح وتشفير الملفات أو الإعدادات المشتركة. على الرغم من أن بعض إصدارات JetSec أصبحت قديمة، فمن الأفضل عدم الإفراط في استخدام مساحة تخزين البيانات الحساسة، لأن نموذج الحماية المعزولة في نظام Android والتشفير القائم على الملفات يتمتعان بالفعل بقوة عالية.

ومن الجدير بالذكر أيضًا أداة "security-app-authenticator " التي تُسهّل عملية التحقق من موثوقية التطبيق بناءً على هوية التوقيع الخاصة به. وباستخدام لغة XML مع أسماء الحزم وهوياتها، تضمن هذه المكتبة أن التطبيقات الشرعية فقط هي التي يمكنها التفاعل مع مكونات النظام الحيوية.

بفضل الانتقال إلى فحص تفصيلي على مستوى المكونات، والقدرة على تدقيق الثغرات الأمنية (CVEs) عبر نظام التحقق من سلامة النظام (OSV)، وتوحيد تحديثات OTA، يُعدّ AndroidX Security State المعيار الذهبي لتعزيز أمان الأجهزة المحمولة. ومن خلال دمج هذه الأدوات، تصبح عمليات سير العمل الحيوية أكثر مرونة، ويتمتع المستخدمون النهائيون بحماية دائمة ضد أحدث التهديدات في العالم الرقمي.