Пълно ръководство за библиотеки за състояние на сигурност в Android

Информатек Дигитал » сигурност » Пълно ръководство за библиотеки за състояние на сигурност в Android

Честно казано, защитата на Android смартфон в днешно време е истинско главоболие. С оглед на сложността на екосистемата, разработчиците разчитаха на много общ показател, наречен ниво на Security Patch Level (SPL), което беше все едно да се опитваш да определиш дали една къща е защитена само по датата на последния основен ремонт, без да имаш представа дали ключалката на задната врата все още е счупена.

За да се запълни тази информационна празнина, се появиха библиотеките AndroidX Security State и Security State Provider . Тези инструменти променят играта, предлагайки подробна видимост във всеки ъгъл на системата, позволявайки на софтуера да бъде наистина устойчив на атаки и позволявайки на приложенията да вземат интелигентни решения въз основа на реални доказателства, а не просто на предположения, като по този начин се установява модел на нулево доверие.

Сбогом на единичния пластир: ерата на гранулираността

Основният проблем с разчитането на един-единствен SPL е, че Android сега се актуализира на части благодарение на системните актуализации на Project Mainline и Google Play. За да се внесе ред в този хаос, новите библиотеки разделят сигурността на три стълба: основната операционна система (актуализира се по въздуха), системните модули (доставяни чрез Google Play) и ядрото на Linux , което е основата на всичко и се измерва с помощта на LTS версии, а не с месечни дати на пускане.

За всеки от тези компоненти могат да се направят консултации с три различни държави, което дава пълна картина на ситуацията:

• Звуков сигнал на устройството (DSPL): Показва какво е инсталирано и работи на устройството в точния момент, без да е необходима интернет връзка.
• Публикувано SPL (PSPL): Това представлява най-новата версия, официално публикувана в бюлетина за сигурност на Android.
• Налично звуково налягане (ASPL): Той показва дали вече има изтеглена актуализация или е готова за инсталиране чрез механизъм за междупроцесна комуникация (IPC).

Контрол на уязвимостите и одит на CVE

Едно от перлите в короната е интеграцията с базата данни за уязвимости с отворен код (OSV) . Вече няма никакви догадки при определянето дали корекцията за даден месец отстранява конкретна уязвимост; сега е възможно програмно да се проследяват специфични CVE .

Това е чисто злато за финтех, банкови или здравни приложения, тъй като те могат да ограничат висококачествени преводи или достъпа до чувствителни данни, ако открият, че критична уязвимост на Bluetooth или NFC все още е активна на устройството. Например, недостатъци като запис извън границите на libimagecodec.quram.so биха могли да позволят на отдалечени нападатели да изпълняват произволен код, превръщайки остаряло устройство в задна врата към корпоративни мрежи.

Implementación técnica y flujo de trabajo

За да стартира това, разработчикът трябва да добави зависимостта androidx.security:security-state:1.1.0 във вашия Gradle файл. Инициализацията е проста и изисква Android контекст, въпреки че скоростта може да се подобри чрез предаване на отчет за уязвимост във формат JSON директно на конструктора. Състояние на SecurityPatch.

Работният процес обикновено е разделен на три вида проверки:

• Синхронни проверки: Те се използват за проверка на DSPL при стартиране на приложението и сравняването му със задължителна базова дата.
• Асинхронни заявки: през fetchAvailableSecurityPatchLevelПриложението може да уведоми потребителя, че има предстояща актуализация и да го пренасочи към настройките.
• Задълбочени одити: Con queryAllAvailableUpdates Можете да анализирате актуалността на данните и да разберете кой доставчик на актуализации отговаря.

Важно е да се отбележи, че поддръжката варира в зависимост от версията на системата. Докато Android 11 и по-нови версии предлагат пълна поддръжка, Android 10 няма официална поддръжка на ядрото, а във версии 9 и по-ранни, където модулите на Project Mainline не съществуваха, системата по подразбиране връща датата на Unix (1970-01-01) .

Ролята на доставчика на състояние на сигурност и новите функции в Android 17

За да работи цялата тази система, някой трябва да обяви, че са налични актуализации. Тук се намесва Security State Provider , който стандартизира начина, по който клиентите за актуализации докладват на ASPL. Преди това OTA информацията на всеки производител беше заключена в собствени силози; сега всяко оторизирано приложение може да има достъп до данните, независимо от марката на телефона.

Освен това, Android 17 въведе мощно подобрение за производителите (OEM) чрез XML файл с допълнителни корекции . Това им позволява да декларират свои собствени внедрени корекции за сигурност, без да чакат глобалното издание на SPL, като по този начин се гарантира, че текущите усилия за корекции се разпознават незабавно и устройството не изглежда уязвимо, дори след като е било защитено.

Други инструменти в екосистемата на AndroidX Security

Освен състоянието на системата, съществуват и други ключови компоненти. Библиотеката security-crypto е от съществено значение за управление на ключове и криптиране на файлове или SharedPreferences. Въпреки че някои версии на JetSec вече са остарели, най-добре е да не се прекалява със съхранението на чувствителни данни, тъй като моделът sandbox на Android и криптирането, базирано на файлове, вече са много стабилни.

Заслужава да се отбележи и security-app-authenticator , който опростява проверката на надеждността на приложението въз основа на неговата самоличност за подписване. Използвайки XML с имена на пакети и самоличности, библиотеката гарантира, че само легитимни приложения могат да взаимодействат с критични системни компоненти.

Преходът към подробна проверка на ниво компоненти, възможността за одит на CVE чрез OSV и стандартизацията на OTA актуализациите правят AndroidX Security State златния стандарт за подобрена мобилна сигурност. Чрез интегрирането на тези инструменти, критичните работни процеси стават устойчиви, а крайните потребители са винаги защитени от най-новите заплахи в дигиталния пейзаж.