- Implementacija granularnog sistema vidljivosti koji zamjenjuje monolitnu sigurnosnu zakrpu analizom zasnovanom na komponentama.
- Mogućnost revizije specifičnih ranjivosti putem integracije s OSV bazom podataka i praćenjem CVE-a.
- Standardizacija komunikacije između proizvođača i aplikacija putem Security State Provider-a za upravljanje OTA ažuriranjima.
Održavanje sigurnosti Android pametnog telefona ovih dana je, iskreno, prava glavobolja. S obzirom na to koliko je ekosistem postao složen, programeri su se oslanjali na vrlo opću metriku pod nazivom Sigurnosna zakrpa (SPL), što je u osnovi bilo kao pokušaj utvrđivanja da li je kuća sigurna samo gledajući datum posljednje velike renovacije, bez ikakve ideje da li je brava na zadnjim vratima još uvijek pokvarena.
Da bi se otklonio ovaj nedostatak informacija, stigle su knjižare AndroidX sigurnosno stanje i pružatelj sigurnosnog stanjaOvi alati mijenjaju pravila igre, nudeći detaljan uvid u svaki kutak sistema, omogućavajući softveru da bude zaista otporan na napade i aplikacijama da donose inteligentne odluke na osnovu stvarnih dokaza, a ne pukih pretpostavki, čime se uspostavlja model... nulto povjerenje.
Zbogom jednoj zakrpi: era granularnosti
Veliki problem sa oslanjanjem na jedan SPL je taj što se Android sada ažurira postepeno zahvaljujući sistemskim ažuriranjima Project Mainline i Google Play-a. Da bi se uveo red u ovaj haos, nove biblioteke dijele sigurnost na tri stuba: centralni operativni sistem (ažurirano putem OTA), sistemski moduli (koji stižu putem Google Playa) i linux kernelšto je osnova svega i mjeri se LTS verzijama umjesto mjesečnih datuma.
Za svaku od ovih komponenti mogu se konsultovati tri različite države, što daje potpunu sliku situacije:
- Zvukni pritisak uređaja (DSPL): Označava šta je instalirano i pokrenuto na uređaju u tom tačnom trenutku, bez potrebe za internet vezom.
- Objavljeni SPL (PSPL): Predstavlja najnoviju verziju službeno objavljenu u sigurnosnom biltenu za Android.
- Dostupni zvučni pritisak (ASPL): Otkriva da li je ažuriranje već preuzeto ili spremno za instalaciju putem mehanizma međuprocesne komunikacije (IPC).
Kontrola ranjivosti i revizija CVE-a
Jedan od dragulja u kruni je integracija s bazom podataka Ranjivosti otvorenog koda (OSV)Nema potrebe nagađati da li zakrpa za određeni mjesec ispravlja određenu grešku; sada je moguće pratiti je. Specifični CVE-ovi programski.
Ovo je čisto zlato za fintech, bankarske ili zdravstvene aplikacije, jer mogu ograničiti transfere velike vrijednosti ili pristup osjetljivim podacima ako otkriju da... kritična ranjivost Bluetootha ili NFC-a Ostaje aktivan na terminalu. Na primjer, ranjivosti poput pisanja izvan granica u libimagecodec.quram.so mogle bi omogućiti udaljenim napadačima da izvrše proizvoljni kod, pretvarajući zastarjeli uređaj u stražnja vrata ka korporativnim mrežama.
Implementación técnica y flujo de trabajo
Da bi ovo pokrenuo i radio, programer mora dodati zavisnost androidx.security:security-state:1.1.0 u vašoj Gradle datoteci. Inicijalizacija je jednostavna i zahtijeva Android kontekst, iako se brzina može poboljšati prosljeđivanjem izvještaja o ranjivosti u JSON formatu direktno konstruktoru. Stanje sigurnosne zakrpe.
Tok rada je generalno podijeljen na tri vrste provjera:
- Sinhrone verifikacije: Koriste se za pregled DSPL-a kada se aplikacija pokrene i poređenje s obaveznim osnovnim datumom.
- Asinhroni upiti: Kroz
fetchAvailableSecurityPatchLevelAplikacija može obavijestiti korisnika da postoji ažuriranje koje je na čekanju i preusmjeriti ga na postavke. - Dubinske revizije: con
queryAllAvailableUpdatesMožete analizirati ažurnost podataka i saznati koji dobavljač ažuriranja odgovara.
Važno je napomenuti da podrška varira ovisno o verziji sistema. Dok Android 11 i novije verzije nude punu podršku, Androidu 10 nedostaje službena podrška za kernel, a u verzijama 9 i ranijim, gdje moduli Project Mainline nisu postojali, sistem vraća Datum Unixa (1970-01-01) default.
Uloga Provajdera sigurnosnog stanja i nove funkcije u Androidu 17
Da bi cijela ova mašina radila, neko mora objaviti da su dostupna ažuriranja. Tu se Pružatelj sigurnosnog stanjaOvo standardizuje način na koji klijenti ažuriranja prijavljuju ASPL. Ranije su OTA podaci svakog proizvođača bili zaključani u vlasničkim silosima; sada bilo koja ovlaštena aplikacija može pristupiti podacima bez obzira na marku telefona.
Takođe sa Android 17 Za proizvođače (OEM) uvedeno je snažno poboljšanje putem datoteke Dodatne zakrpe XMLOvo omogućava deklarisanje samostalno implementiranih sigurnosnih ispravki bez čekanja na globalnu verziju SPL-a, osiguravajući da kontinuirani napori u ažuriranju se odmah prepoznaju i uređaj ne izgleda ranjivo nakon što je osiguran.
Ostali alati u ekosistemu sigurnosti AndroidX-a
Pored stanja sistema, postoje i druge ključne komponente. Biblioteka sigurnost-kripto Neophodan je za upravljanje ključevima i šifriranje datoteka ili SharedPreferences. Iako su neke verzije JetSeca sada zastarjele, najbolje je ne pretjerivati sa pohranom osjetljivih podataka, jer Android model sandboxa i šifriranje na bazi datoteka su već vrlo robusni.
Takođe naglašava autentifikator-sigurnosne-aplikacijeOvo pojednostavljuje proces provjere pouzdanosti aplikacije na osnovu njenog identiteta za potpisivanje. Koristeći XML datoteku koja sadrži nazive paketa i identitete, biblioteka osigurava da samo legitimne aplikacije može stupiti u interakciju s kritičnim komponentama sistema.
Prelazak na detaljnu inspekciju na nivou komponenti, mogućnost revizije CVE-a putem OSV-a i standardizacija OTA ažuriranja čine AndroidX Security State standardom za poboljšanje sigurnosti mobilnih uređaja. Integracijom ovih alata, kritični tokovi rada postaju otporni, a krajnji korisnici su osnaženi. uvijek zaštićen suočeni s najnovijim prijetnjama u digitalnom svijetu.