Πλήρης οδηγός για τις βιβλιοθήκες κατάστασης ασφαλείας στο Android

Informatec Digital » ασφάλεια » Πλήρης οδηγός για τις βιβλιοθήκες κατάστασης ασφαλείας στο Android

Η διατήρηση της ασφάλειας ενός smartphone Android στις μέρες μας είναι, ειλικρινά, ένας πραγματικός πονοκέφαλος. Με το πόσο περίπλοκο έχει γίνει το οικοσύστημα, οι προγραμματιστές βασίζονταν σε μια πολύ γενική μέτρηση που ονομάζεται Επίπεδο Επιδιόρθωσης Ασφαλείας (SPL), η οποία ήταν ουσιαστικά σαν να προσπαθούσες να διαπιστώσεις εάν ένα σπίτι είναι ασφαλές κοιτάζοντας μόνο την ημερομηνία της τελευταίας μεγάλης ανακαίνισης, χωρίς να έχεις ιδέα αν η κλειδαριά της πίσω πόρτας είναι ακόμα σπασμένη.

Για να αντιμετωπιστεί αυτό το κενό πληροφοριών, έχουν κυκλοφορήσει οι βιβλιοθήκες AndroidX Security State και Security State Provider . Αυτά τα εργαλεία αλλάζουν τα δεδομένα, προσφέροντας λεπτομερή ορατότητα σε κάθε γωνιά του συστήματος, επιτρέποντας στο λογισμικό να είναι πραγματικά ανθεκτικό σε επιθέσεις και επιτρέποντας στις εφαρμογές να λαμβάνουν έξυπνες αποφάσεις με βάση πραγματικά στοιχεία, όχι απλές υποθέσεις, δημιουργώντας έτσι ένα μοντέλο μηδενικής εμπιστοσύνης.

Αντίο στην ενιαία ενημέρωση κώδικα: η εποχή της λεπτομέρειας

Το κύριο πρόβλημα με την εξάρτηση από ένα μόνο SPL είναι ότι το Android ενημερώνεται πλέον σταδιακά χάρη στις ενημερώσεις συστήματος του Project Mainline και του Google Play. Για να βάλουν τάξη σε αυτό το χάος, οι νέες βιβλιοθήκες αναλύουν την ασφάλεια σε τρεις πυλώνες: το βασικό λειτουργικό σύστημα (που ενημερώνεται ασύρματα), τις ενότητες συστήματος (που παρέχονται μέσω του Google Play) και τον πυρήνα του Linux , ο οποίος αποτελεί το θεμέλιο των πάντων και μετριέται χρησιμοποιώντας εκδόσεις LTS αντί για μηνιαίες ημερομηνίες κυκλοφορίας.

Για κάθε μία από αυτές τις συνιστώσες, μπορούν να συμβουλευτούν τρία διαφορετικά κράτη, δίνοντας μια πλήρη εικόνα της κατάστασης:

• Συσκευή SPL (DSPL): Υποδεικνύει τι είναι εγκατεστημένο και εκτελείται στη συσκευή τη συγκεκριμένη στιγμή, χωρίς να χρειάζεται σύνδεση στο διαδίκτυο.
• Δημοσιευμένο SPL (PSPL): Αντιπροσωπεύει την πιο πρόσφατη έκδοση που δημοσιεύτηκε επίσημα στο ενημερωτικό δελτίο ασφαλείας του Android.
• Διαθέσιμο SPL (ASPL): Αποκαλύπτει εάν υπάρχει ήδη ληφθείσα ή έτοιμη για εγκατάσταση ενημέρωση μέσω ενός μηχανισμού επικοινωνίας μεταξύ διεργασιών (IPC).

Έλεγχος ευπάθειας και έλεγχος CVE

Ένα από τα πιο σημαντικά πλεονεκτήματα είναι η ενσωμάτωση με τη βάση δεδομένων ευπαθειών ανοιχτού κώδικα (OSV) . Δεν χρειάζεται πλέον να κάνετε εικασίες για να προσδιορίσετε εάν η ενημέρωση κώδικα ενός συγκεκριμένου μήνα διορθώνει μια συγκεκριμένη ευπάθεια. Τώρα είναι δυνατή η παρακολούθηση συγκεκριμένων CVE μέσω προγραμματισμού .

Αυτό είναι καθαρός χρυσός για εφαρμογές fintech, τραπεζών ή υγειονομικής περίθαλψης, καθώς μπορούν να περιορίσουν τις μεταφορές υψηλής αξίας ή την πρόσβαση σε ευαίσθητα δεδομένα εάν εντοπίσουν ότι μια κρίσιμη ευπάθεια Bluetooth ή NFC εξακολουθεί να είναι ενεργή στη συσκευή. Για παράδειγμα, ελαττώματα όπως η εγγραφή εκτός ορίων στο libimagecodec.quram.so θα μπορούσαν να επιτρέψουν σε απομακρυσμένους εισβολείς να εκτελέσουν αυθαίρετο κώδικα, μετατρέποντας μια ξεπερασμένη συσκευή σε κερκόπορτα σε εταιρικά δίκτυα.

Implementación técnica y flujo de trabajo

Για να τεθεί σε λειτουργία αυτό, ο προγραμματιστής πρέπει να προσθέσει την εξάρτηση androidx.security:security-state:1.1.0 στο αρχείο Gradle. Η αρχικοποίηση είναι απλή και απαιτεί περιβάλλον Android, αν και η ταχύτητα μπορεί να βελτιωθεί διαβιβάζοντας μια αναφορά ευπάθειας σε μορφή JSON απευθείας στον κατασκευαστή. SecurityPatchState.

Η ροή εργασίας γενικά χωρίζεται σε τρεις τύπους ελέγχων:

• Σύγχρονες επαληθεύσεις: Χρησιμοποιούνται για την επιθεώρηση του DSPL κατά την εκκίνηση της εφαρμογής και τη σύγκριση με μια υποχρεωτική βασική ημερομηνία.
• Ασύγχρονα ερωτήματα: μέσω fetchAvailableSecurityPatchLevelΗ εφαρμογή μπορεί να ειδοποιήσει τον χρήστη ότι υπάρχει μια εκκρεμής ενημέρωση και να τον ανακατευθύνει στις ρυθμίσεις.
• Εις βάθος έλεγχοι: με queryAllAvailableUpdates Μπορείτε να αναλύσετε την ανανέωση των δεδομένων και να μάθετε ποιος πάροχος ενημερώσεων ανταποκρίνεται.

Είναι σημαντικό να σημειωθεί ότι η υποστήριξη ποικίλλει ανάλογα με την έκδοση του συστήματος. Ενώ το Android 11 και οι νεότερες εκδόσεις προσφέρουν πλήρη υποστήριξη, το Android 10 δεν διαθέτει επίσημη υποστήριξη πυρήνα και στις εκδόσεις 9 και παλαιότερες, όπου δεν υπήρχαν οι μονάδες του Project Mainline, το σύστημα επιστρέφει την ημερομηνία Unix (1970-01-01) από προεπιλογή.

Ο ρόλος του παρόχου κατάστασης ασφαλείας και νέες δυνατότητες στο Android 17

Για να λειτουργήσει όλο αυτό το σύστημα, κάποιος πρέπει να ανακοινώσει ότι υπάρχουν διαθέσιμες ενημερώσεις. Εδώ έρχεται ο Πάροχος Κατάστασης Ασφαλείας , ο οποίος τυποποιεί τον τρόπο με τον οποίο οι πελάτες ενημέρωσης αναφέρουν στην ASPL. Προηγουμένως, οι πληροφορίες OTA κάθε κατασκευαστή ήταν κλειδωμένες σε ιδιόκτητα σιλό. Τώρα, οποιαδήποτε εξουσιοδοτημένη εφαρμογή μπορεί να έχει πρόσβαση στα δεδομένα ανεξάρτητα από τη μάρκα του τηλεφώνου.

Επιπλέον, το Android 17 εισήγαγε μια ισχυρή βελτίωση για τους κατασκευαστές (OEM) μέσω ενός αρχείου XML Supplemental Patches . Αυτό τους επιτρέπει να δηλώνουν τις δικές τους εφαρμοσμένες διορθώσεις ασφαλείας χωρίς να περιμένουν την παγκόσμια έκδοση SPL, διασφαλίζοντας ότι οι συνεχιζόμενες προσπάθειες ενημέρωσης κώδικα αναγνωρίζονται αμέσως και ότι η συσκευή δεν φαίνεται ευάλωτη ακόμη και μετά την ασφάλειά της.

Άλλα εργαλεία στο οικοσύστημα ασφαλείας AndroidX

Πέρα από την κατάσταση του συστήματος, υπάρχουν και άλλα βασικά στοιχεία. Η βιβλιοθήκη security-crypto είναι απαραίτητη για τη διαχείριση κλειδιών και την κρυπτογράφηση αρχείων ή SharedPreferences. Παρόλο που ορισμένες εκδόσεις του JetSec είναι πλέον παρωχημένες, είναι καλύτερο να μην γίνεται υπερβολική χρήση της αποθήκευσης ευαίσθητων δεδομένων, καθώς το μοντέλο sandbox του Android και η κρυπτογράφηση που βασίζεται σε αρχεία είναι ήδη πολύ ισχυρά.

Αξιοσημείωτο είναι επίσης το security-app-authenticator , το οποίο απλοποιεί την επαλήθευση της αξιοπιστίας μιας εφαρμογής με βάση την ταυτότητα υπογραφής της. Χρησιμοποιώντας XML με ονόματα και ταυτότητες πακέτων, η βιβλιοθήκη διασφαλίζει ότι μόνο νόμιμες εφαρμογές μπορούν να αλληλεπιδράσουν με κρίσιμα στοιχεία του συστήματος.

Η μετάβαση σε λεπτομερή επιθεώρηση σε επίπεδο στοιχείων, η δυνατότητα ελέγχου CVE μέσω OSV και η τυποποίηση των ενημερώσεων OTA καθιστούν το AndroidX Security State το χρυσό πρότυπο για βελτιωμένη ασφάλεια σε κινητά. Ενσωματώνοντας αυτά τα εργαλεία, οι κρίσιμες ροές εργασίας γίνονται ανθεκτικές και οι τελικοί χρήστες προστατεύονται πάντα από τις πιο πρόσφατες απειλές στο ψηφιακό τοπίο.