- Implementació d'un sistema de visibilitat granular que substitueix el pegat de seguretat monolític per una anàlisi per components.
- Capacitat per auditar vulnerabilitats específiques mitjançant la integració amb la base de dades OSV i el rastreig de CVEs.
- Estandardització de la comunicació entre fabricants i aplicacions a través del Security State Provider per gestionar actualitzacions OTA.
Mantenir un smartphone Android blindat avui dia és, sincerament, un maldecap. Amb el complex que s'ha tornat l'ecosistema, els desenvolupadors solien refiar-se d'una dada molt general anomenada Security Patch Level (SPL), que era bàsicament com intentar saber si una casa és segura mirant només la data de l'última reforma general, sense tenir ni idea de si el pany de la porta del darrere segueix trencat.
Per posar remei a aquest buit d'informació, heu aterrat les llibreries AndroidX Security State i Security State Provider . Aquestes eines canvien les regles del joc en oferir-nos una visibilitat detallada de cada racó del sistema, permetent que el programari sigui realment resistent als atacs i que les apps prenguin decisions intel·ligents basades en evidències reals i no en simples suposicions, establint així un model de confiança zero.
Adéu al pegat únic: l'era de la granularitat
El gran problema de dependre d'un sol SPL és que ara Android s'actualitza per parts gràcies a Project Mainline i les actualitzacions del sistema de Google Play. Per posar ordre en aquest caos, les noves llibreries desglossen la seguretat en tres pilars: el sistema operatiu central (actualitzat via OTA), els mòduls del sistema (que arriben per Google Play) i el nucli de Linux , que és la base de tot i es mesura mitjançant versions LTS en lloc de dates mensuals.
Per a cadascun d'aquests components, podeu consultar tres estats diferents que donen una imatge completa de la situació:
- Device SPL (DSPL): Indica què està instal·lat i executant-se al dispositiu en aquest precís instant, sense necessitat de connexió a internet.
- Published SPL (PSPL): Representa la versió més recent publicada oficialment al butlletí de seguretat d'Android.
- Available SPL (ASPL): Ens revela si hi ha una actualització ja descarregada o llesta per instal·lar-se mitjançant un mecanisme de comunicació entre processos (IPC).
Control de vulnerabilitats i auditoria de CVEs
Una de les joies de la corona és la integració amb la base de dades d' Open Source Vulnerabilities (OSV) . Ja no cal jugar a les endevinalles per saber si el pegat d'un mes concret soluciona una fallada específica; ara és possible rastrejar CVEs específics de manera programàtica.
Això és or pur per a aplicacions de fintech, banca o salut, ja que poden restringir transferències d'alt valor o l'accés a dades sensibles si detecten que una vulnerabilitat crítica de Bluetooth o NFC segueix activa al terminal. Per exemple, errors com l'escriptura fora de límits a libimagecodec.quram.so podrien permetre a atacants remots executar codi arbitrari, convertint un dispositiu desactualitzat en una porta del darrere cap a xarxes corporatives.
Implementació tècnica i flux de treball
Per posar-ho en marxa, el desenvolupador ha d'afegir la dependència androidx.security:security-state:1.1.0 al vostre fitxer Gradle. La inicialització és senzilla i requereix un context d'Android, encara que es pot guanyar velocitat passant un informe de vulnerabilitats en format JSON directament al constructor de SecurityPatchState.
El flux de treball es divideix generalment en tres tipus de revisions:
- Verificacions síncrones: Es fan servir per inspeccionar el DSPL en arrencar l'app i comparar-lo amb una data base obligatòria.
- Consultes asíncrones: A través d'
fetchAvailableSecurityPatchLevel, l'app pot avisar l'usuari que hi ha una actualització pendent i redirigir-ho a la configuració. - Auditories profundes: Amb
queryAllAvailableUpdateses pot analitzar la frescor de les dades i saber quin proveïdor d'actualitzacions respon.
És important notar que el suport varia segons la versió del sistema. Mentre que Android 11 d'ara endavant ofereix suport total, Android 10 no té suport de nucli oficial i en versions 9 o anteriors, on els mòduls de Project Mainline no existien, el sistema torna la data Unix (1970-01-01) per defecte.
El paper del Security State Provider i novetats d'Android 17
Perquè tot aquest engranatge funcioni, algú ha d'anunciar que hi ha actualitzacions disponibles. Aquí entra el Security State Provider , que estandarditza com els clients d'actualització informen l'ASPL. Antany, la informació de les OTA de cada fabricant estava tancada en sitges propietaris; ara, qualsevol app autoritzada pot accedir a les dades sense importar la marca del telèfon.
A més, amb Android 17 s'ha introduït una millora potent per als fabricants (OEMs) mitjançant un fitxer Supplemental Patches XML . Això permet declarar correccions de seguretat implementades per compte propi sense esperar a la versió global de l'SPL, assegurant que els esforços de pegat continu es reconeguin al moment i el dispositiu no sembli vulnerable quan ja ha estat protegit.
Altres eines de l'ecosistema AndroidX Security
Més enllà de l'estat del sistema, hi ha altres peces clau. La llibreria security-crypto és fonamental per gestionar claus i xifrar fitxers o SharedPreferences. Tot i que algunes versions de JetSec van quedar obsoletes, l'ideal és no abusar de l'emmagatzematge de dades sensibles, ja que el model de sandbox d'Android i el xifratge basat en fitxers ja són molt robustos.
També destaca security-app-authenticator , que simplifica la verificació de la confiança d'una aplicació basant-se en la identitat de signatura. Mitjançant un XML amb noms de paquets i identitats, la llibreria assegura que només aplicacions legítimes puguin interactuar amb components crítics del sistema.
La transició cap a una inspecció detallada per components, la capacitat d'auditar CVE mitjançant OSV i l'estandardització de les OTA converteixen AndroidX Security State en l'estàndard per elevar la seguretat mòbil. En integrar aquestes eines, s'aconsegueix que els fluxos de treball més crítics siguin resistents i que els usuaris finals estiguin sempre protegits davant de les amenaces més recents del panorama digital.