- Implementacija granularnog sistema vidljivosti koji zamjenjuje monolitnu sigurnosnu zakrpu analizom zasnovanom na komponentama.
- Mogućnost revizije specifičnih ranjivosti putem integracije s OSV bazom podataka i praćenjem CVE-a.
- Standardizacija komunikacije između proizvođača i aplikacija putem Security State Provider-a za upravljanje OTA ažuriranjima.
Održavanje sigurnosti Android pametnog telefona ovih dana je, iskreno, prava glavobolja. S obzirom na to koliko je ekosistem postao složen, programeri su se oslanjali na vrlo opću metriku pod nazivom Sigurnosna zakrpa (SPL), što je u osnovi bilo kao pokušaj utvrđivanja da li je kuća sigurna samo gledajući datum posljednje velike renovacije, bez ikakve ideje da li je brava na zadnjim vratima još uvijek pokvarena.
Kako bi se riješio ovaj informacioni nedostatak, stigle su AndroidX biblioteke Security State i Security State Provider . Ovi alati mijenjaju pravila igre, nudeći detaljan uvid u svaki kutak sistema, omogućavajući softveru da bude zaista otporan na napade i dozvoljavajući aplikacijama da donose inteligentne odluke na osnovu stvarnih dokaza, a ne pukih pretpostavki, uspostavljajući tako model nultog povjerenja.
Zbogom jednoj zakrpi: era granularnosti
Glavni problem sa oslanjanjem na jedan SPL je taj što se Android sada ažurira postupno zahvaljujući sistemskim ažuriranjima Project Mainline i Google Play-a. Da bi se uveo red u ovaj haos, nove biblioteke dijele sigurnost na tri stuba: osnovni operativni sistem (ažurira se bežično), sistemske module (isporučuje se putem Google Play-a) i Linux kernel , koji je osnova svega i mjeri se korištenjem LTS verzija, a ne mjesečnih datuma izdanja.
Za svaku od ovih komponenti mogu se konsultovati tri različite države, što daje potpunu sliku situacije:
- Zvukni pritisak uređaja (DSPL): Označava šta je instalirano i pokrenuto na uređaju u tom tačnom trenutku, bez potrebe za internet vezom.
- Objavljeni SPL (PSPL): Predstavlja najnoviju verziju službeno objavljenu u sigurnosnom biltenu za Android.
- Dostupni zvučni pritisak (ASPL): Otkriva da li je ažuriranje već preuzeto ili spremno za instalaciju putem mehanizma međuprocesne komunikacije (IPC).
Kontrola ranjivosti i revizija CVE-a
Jedan od dragulja u kruni je integracija s bazom podataka o ranjivostima otvorenog koda (OSV) . Više nema nagađanja u određivanju da li zakrpa za određeni mjesec ispravlja određenu ranjivost; sada je moguće programski pratiti specifične CVE-ove .
Ovo je čisto zlato za fintech, bankarske ili zdravstvene aplikacije, jer mogu ograničiti transfere velike vrijednosti ili pristup osjetljivim podacima ako otkriju da je kritična ranjivost Bluetootha ili NFC-a i dalje aktivna na uređaju. Na primjer, nedostaci poput pisanja izvan granica u libimagecodec.quram.so mogli bi omogućiti udaljenim napadačima da izvrše proizvoljni kod, pretvarajući zastarjeli uređaj u backdoor u korporativne mreže.
Implementación técnica y flujo de trabajo
Da bi ovo pokrenuo i radio, programer mora dodati zavisnost androidx.security:security-state:1.1.0 u vašoj Gradle datoteci. Inicijalizacija je jednostavna i zahtijeva Android kontekst, iako se brzina može poboljšati prosljeđivanjem izvještaja o ranjivosti u JSON formatu direktno konstruktoru. Stanje sigurnosne zakrpe.
Tok rada je generalno podijeljen na tri vrste provjera:
- Sinhrone verifikacije: Koriste se za pregled DSPL-a kada se aplikacija pokrene i poređenje s obaveznim osnovnim datumom.
- Asinhroni upiti: Kroz
fetchAvailableSecurityPatchLevelAplikacija može obavijestiti korisnika da postoji ažuriranje koje je na čekanju i preusmjeriti ga na postavke. - Dubinske revizije: con
queryAllAvailableUpdatesMožete analizirati ažurnost podataka i saznati koji dobavljač ažuriranja odgovara.
Važno je napomenuti da podrška varira ovisno o verziji sistema. Dok Android 11 i novije verzije nude punu podršku, Android 10 nema službenu podršku za kernel, a u verzijama 9 i ranijim, gdje moduli Project Mainline nisu postojali, sistem prema zadanim postavkama vraća Unix datum (1970-01-01).
Uloga Provajdera sigurnosnog stanja i nove funkcije u Androidu 17
Da bi cijeli ovaj sistem funkcionirao, neko mora objaviti da su ažuriranja dostupna. Tu nastupa Security State Provider , standardizirajući način na koji klijenti ažuriranja izvještavaju ASPL-u. Ranije su OTA informacije svakog proizvođača bile zaključane u vlasničkim silosima; sada svaka ovlaštena aplikacija može pristupiti podacima bez obzira na marku telefona.
Nadalje, Android 17 je uveo snažno poboljšanje za proizvođače (OEM) putem XML datoteke dodatnih zakrpa . Ovo im omogućava da deklarišu vlastite implementirane sigurnosne ispravke bez čekanja na globalno izdanje SPL-a, osiguravajući da se tekući napori za krpljenje odmah prepoznaju i da uređaj ne izgleda ranjivo čak ni nakon što je osiguran.
Ostali alati u ekosistemu sigurnosti AndroidX-a
Pored stanja sistema, postoje i druge ključne komponente. Biblioteka security-crypto je neophodna za upravljanje ključevima i šifriranje datoteka ili SharedPreferences. Iako su neke verzije JetSeca sada zastarjele, najbolje je ne pretjerivati sa pohranom osjetljivih podataka, jer su Androidov sandbox model i šifriranje zasnovano na datotekama već vrlo robusni.
Također je vrijedan pažnje security-app-authenticator , koji pojednostavljuje provjeru pouzdanosti aplikacije na osnovu njenog identiteta za potpisivanje. Korištenjem XML-a s nazivima paketa i identitetima, biblioteka osigurava da samo legitimne aplikacije mogu komunicirati s kritičnim komponentama sistema.
Prelazak na detaljnu inspekciju na nivou komponenti, mogućnost revizije CVE-a putem OSV-a i standardizacija OTA ažuriranja čine AndroidX Security State zlatnim standardom za poboljšanu mobilnu sigurnost. Integracijom ovih alata, kritični tokovi rada postaju otporni, a krajnji korisnici su uvijek zaštićeni od najnovijih prijetnji u digitalnom okruženju.