- Implementierung eines granularen Transparenzsystems, das den monolithischen Sicherheitspatch durch eine komponentenbasierte Analyse ersetzt.
- Möglichkeit zur Überprüfung spezifischer Schwachstellen durch Integration mit der OSV-Datenbank und CVEs-Tracking.
- Standardisierung der Kommunikation zwischen Herstellern und Anwendungen über den Security State Provider zur Verwaltung von OTA-Updates.
Die Sicherheit eines Android-Smartphones zu gewährleisten, ist heutzutage ehrlich gesagt eine echte Herausforderung. Angesichts der Komplexität des Ökosystems verließen sich Entwickler früher auf eine sehr allgemeine Kennzahl namens Security Patch Level (SPL). Das war im Grunde so, als würde man versuchen, die Sicherheit eines Hauses allein anhand des Datums der letzten größeren Renovierung zu beurteilen, ohne zu wissen, ob das Schloss der Hintertür noch defekt ist.
Um diese Informationslücke zu schließen, wurden die AndroidX Security State- und Security State Provider -Bibliotheken entwickelt . Diese Tools sind bahnbrechend und bieten detaillierte Einblicke in jeden Bereich des Systems. Dadurch wird Software wirklich widerstandsfähig gegen Angriffe und Apps können intelligente Entscheidungen auf Basis realer Beweise und nicht bloßer Annahmen treffen – und somit ein Zero-Trust -Modell etabliert werden.
Abschied vom Einzelpatch: Das Zeitalter der Granularität
Das Hauptproblem bei der Verwendung einer einzigen SPL (System Security Library) besteht darin, dass Android dank Project Mainline und Google Play-Systemupdates nur noch stückweise aktualisiert wird. Um dieses Chaos zu ordnen, unterteilen die neuen Bibliotheken die Sicherheit in drei Säulen: das Kernbetriebssystem (drahtlos aktualisiert), Systemmodule (über Google Play bereitgestellt) und den Linux-Kernel , der die Grundlage von allem bildet und dessen Aktualisierung anhand von LTS-Versionen statt monatlichen Veröffentlichungsterminen gemessen wird.
Für jede dieser Komponenten können drei verschiedene Zustände konsultiert werden, wodurch ein vollständiges Bild der Situation entsteht:
- Geräte-Schalldruckpegel (DSPL): Es zeigt an, was in diesem Moment auf dem Gerät installiert ist und ausgeführt wird, ohne dass eine Internetverbindung erforderlich ist.
- Veröffentlichte SPL (PSPL): Es handelt sich um die aktuellste Version, die offiziell im Android-Sicherheitsbulletin veröffentlicht wurde.
- Verfügbarer Schalldruckpegel (ASPL): Es zeigt an, ob ein Update bereits heruntergeladen wurde oder zur Installation über einen Interprozesskommunikationsmechanismus (IPC) bereitsteht.
Schwachstellenkontrolle und CVEs-Auditierung
Ein absolutes Highlight ist die Integration mit der Open Source Vulnerabilities (OSV) -Datenbank . Es ist nun kein Rätselraten mehr nötig, um festzustellen, ob ein Patch eines bestimmten Monats eine spezifische Sicherheitslücke behebt; stattdessen können spezifische CVEs programmatisch verfolgt werden.
Für Fintech-, Bank- und Gesundheitsanwendungen ist dies von unschätzbarem Wert, da sie den Transfer hoher Beträge oder den Zugriff auf sensible Daten einschränken können, wenn sie eine kritische Bluetooth- oder NFC-Schwachstelle auf dem Gerät erkennen. Beispielsweise könnten Fehler wie das Schreiben außerhalb des zulässigen Speicherbereichs in libimagecodec.quram.so es Angreifern ermöglichen, beliebigen Code auszuführen und so ein veraltetes Gerät in ein Einfallstor für Unternehmensnetzwerke zu verwandeln.
Technische Umsetzung und Flujo de Trabajo
Um dies zum Laufen zu bringen, muss der Entwickler die Abhängigkeit hinzufügen. androidx.security:security-state:1.1.0 in Ihrer Gradle-Datei. Die Initialisierung ist einfach und erfordert einen Android-Kontext. Die Geschwindigkeit kann jedoch verbessert werden, indem ein Sicherheitslückenbericht im JSON-Format direkt an den Konstruktor übergeben wird. Sicherheitspatchstatus.
Der Arbeitsablauf ist im Allgemeinen in drei Arten von Prüfungen unterteilt:
- Synchrone Überprüfungen: Sie dienen dazu, den DSPL beim Start der Anwendung zu überprüfen und mit einem obligatorischen Basisdatum zu vergleichen.
- Asynchrone Abfragen: Durch
fetchAvailableSecurityPatchLevelDie App kann den Benutzer über ein ausstehendes Update informieren und ihn zu den Einstellungen weiterleiten. - Detaillierte Prüfungen: Mit
queryAllAvailableUpdatesSie können die Aktualität der Daten analysieren und herausfinden, welcher Aktualisierungsanbieter antwortet.
Es ist wichtig zu beachten, dass die Unterstützung je nach Systemversion variiert. Während Android 11 und höher vollständige Unterstützung bieten, gibt es für Android 10 keine offizielle Kernel-Unterstützung. In Versionen 9 und älter, in denen es noch keine Project Mainline-Module gab, gibt das System standardmäßig das Unix-Datum (1970-01-01) zurück.
Die Rolle des Sicherheitsstatusanbieters und neue Funktionen in Android 17
Damit dieses System funktioniert, muss jemand verfügbare Updates ankündigen. Hier kommt der Security State Provider (SSP) ins Spiel, der die Meldung von Update-Clients an den SSP standardisiert. Früher waren die OTA-Informationen der einzelnen Hersteller in proprietären Systemen isoliert; jetzt kann jede autorisierte App unabhängig von der Telefonmarke auf die Daten zugreifen.
Darüber hinaus führte Android 17 eine wichtige Verbesserung für Hersteller (OEMs) durch eine XML-Datei für ergänzende Patches (SPL ) ein . Diese ermöglicht es ihnen, ihre implementierten Sicherheitskorrekturen zu deklarieren, ohne auf die globale SPL-Veröffentlichung warten zu müssen. So wird sichergestellt, dass laufende Patching-Bemühungen sofort erkannt werden und das Gerät auch nach der Absicherung nicht als angreifbar erscheint.
Weitere Tools im AndroidX Security-Ökosystem
Neben dem Systemstatus existieren weitere wichtige Komponenten. Die Sicherheits- und Kryptobibliothek ist unerlässlich für die Schlüsselverwaltung und die Verschlüsselung von Dateien oder SharedPreferences. Obwohl einige Versionen von JetSec mittlerweile veraltet sind, empfiehlt es sich, den Speicherplatz für sensible Daten nicht übermäßig zu nutzen, da Androids Sandbox-Modell und die dateibasierte Verschlüsselung bereits sehr robust sind.
Besonders hervorzuheben ist der security-app-authenticator , der die Überprüfung der Vertrauenswürdigkeit einer Anwendung anhand ihrer Signatur vereinfacht. Durch die Verwendung von XML mit Paketnamen und -identitäten stellt die Bibliothek sicher, dass nur legitime Anwendungen mit kritischen Systemkomponenten interagieren können.
Die Umstellung auf detaillierte Komponentenprüfung, die Möglichkeit, CVEs über OSV zu auditieren, und die Standardisierung von OTA-Updates machen AndroidX Security State zum Goldstandard für verbesserte mobile Sicherheit. Durch die Integration dieser Tools werden kritische Arbeitsabläufe ausfallsicher und Endnutzer sind stets vor den neuesten Bedrohungen im digitalen Raum geschützt .