- Implementacija granularnog sustava vidljivosti koji zamjenjuje monolitnu sigurnosnu zakrpu analizom temeljenom na komponentama.
- Mogućnost revizije specifičnih ranjivosti putem integracije s OSV bazom podataka i praćenjem CVE-a.
- Standardizacija komunikacije između proizvođača i aplikacija putem pružatelja sigurnosnog stanja za upravljanje OTA ažuriranjima.
Održavanje sigurnosti Android pametnog telefona ovih je dana, iskreno, prava glavobolja. S obzirom na to koliko je ekosustav postao složen, programeri su se oslanjali na vrlo općenitu metriku nazvanu Razina sigurnosne zakrpe (SPL), što je u osnovi bilo kao pokušaj utvrđivanja je li kuća sigurna samo gledajući datum posljednje velike renovacije, bez ikakve ideje je li brava na stražnjim vratima još uvijek pokvarena.
Kako bi se riješio ovaj informacijski nedostatak, stigle su AndroidX Security State i Security State Provider biblioteke . Ovi alati mijenjaju pravila igre, nudeći detaljan uvid u svaki kutak sustava, omogućujući softveru da bude istinski otporan na napade i aplikacijama da donose inteligentne odluke na temelju stvarnih dokaza, a ne pukih pretpostavki, uspostavljajući tako model nultog povjerenja.
Zbogom jednoj zakrpi: era granularnosti
Glavni problem s oslanjanjem na jedan SPL je taj što se Android sada ažurira postupno zahvaljujući ažuriranjima sustava Project Mainline i Google Play. Kako bi se uveo red u ovaj kaos, nove biblioteke dijele sigurnost na tri stupa: jezgru operativnog sustava (ažurira se bežično), sistemske module (isporučuje se putem Google Playa) i Linux kernel , koji je temelj svega i mjeri se pomoću LTS verzija, a ne mjesečnih datuma izdanja.
Za svaku od ovih komponenti mogu se konzultirati tri različite države, što daje potpunu sliku situacije:
- Zvučni tlak uređaja (DSPL): Označava što je instalirano i pokrenuto na uređaju u tom točnom trenutku, bez potrebe za internetskom vezom.
- Objavljeni SPL (PSPL): Predstavlja najnoviju verziju službeno objavljenu u sigurnosnom biltenu za Android.
- Dostupni SPL (ASPL): Otkriva je li ažuriranje već preuzeto ili spremno za instalaciju putem mehanizma međuprocesne komunikacije (IPC).
Kontrola ranjivosti i revizija CVE-a
Jedan od glavnih dragulja je integracija s bazom podataka o ranjivostima otvorenog koda (OSV) . Više nema nagađanja u određivanju ispravlja li zakrpa određenog mjeseca određenu ranjivost; sada je moguće programski pratiti specifične CVE-ove .
Ovo je čisto zlato za fintech, bankarske ili zdravstvene aplikacije, jer mogu ograničiti transfere velike vrijednosti ili pristup osjetljivim podacima ako otkriju da je kritična ranjivost Bluetootha ili NFC-a još uvijek aktivna na uređaju. Na primjer, nedostaci poput pisanja izvan granica u libimagecodec.quram.so mogli bi omogućiti udaljenim napadačima izvršavanje proizvoljnog koda, pretvarajući zastarjeli uređaj u stražnja vrata u korporativne mreže.
Implementación técnica y flujo de trabajo
Da bi ovo pokrenuo i radio, programer mora dodati ovisnost androidx.security:security-state:1.1.0 u vašoj Gradle datoteci. Inicijalizacija je jednostavna i zahtijeva Android kontekst, iako se brzina može poboljšati slanjem izvješća o ranjivosti u JSON formatu izravno konstruktoru. Stanje sigurnosne zakrpe.
Tijek rada općenito je podijeljen na tri vrste provjera:
- Sinkrone provjere: Koriste se za pregled DSPL-a kada se aplikacija pokrene i usporedbu s obveznim osnovnim datumom.
- Asinkroni upiti: kroz
fetchAvailableSecurityPatchLevelAplikacija može obavijestiti korisnika da postoji ažuriranje na čekanju i preusmjeriti ga na postavke. - Dubinske revizije: s
queryAllAvailableUpdatesMožete analizirati svježinu podataka i saznati koji pružatelj ažuriranja odgovara.
Važno je napomenuti da se podrška razlikuje ovisno o verziji sustava. Dok Android 11 i noviji nude punu podršku, Android 10 nema službenu podršku za kernel, a u verzijama 9 i ranijim, gdje moduli Project Mainline nisu postojali, sustav prema zadanim postavkama vraća Unix datum (1970-01-01).
Uloga pružatelja sigurnosnog stanja i nove značajke u Androidu 17
Da bi cijeli ovaj sustav funkcionirao, netko mora objaviti da su ažuriranja dostupna. Tu nastupa Security State Provider , standardizirajući način na koji klijenti ažuriranja izvještavaju ASPL-u. Prije su OTA informacije svakog proizvođača bile zaključane u vlasničkim silosima; sada svaka ovlaštena aplikacija može pristupiti podacima bez obzira na marku telefona.
Nadalje, Android 17 uveo je snažno poboljšanje za proizvođače (OEM) putem XML datoteke dodatnih zakrpa . To im omogućuje da deklariraju vlastite implementirane sigurnosne ispravke bez čekanja globalnog izdanja SPL-a, osiguravajući da se tekući napori zakrpa odmah prepoznaju i da uređaj ne izgleda ranjivo čak ni nakon što je osiguran.
Ostali alati u ekosustavu AndroidX Security
Osim stanja sustava, postoje i druge ključne komponente. Biblioteka security-crypto bitna je za upravljanje ključevima i šifriranje datoteka ili SharedPreferences. Iako su neke verzije JetSeca sada zastarjele, najbolje je ne pretjerivati s pohranom osjetljivih podataka, jer su Androidov model sandboxa i šifriranje temeljeno na datotekama već vrlo robusni.
Također je vrijedan pažnje security-app-authenticator , koji pojednostavljuje provjeru pouzdanosti aplikacije na temelju njezinog identiteta za potpisivanje. Korištenjem XML-a s nazivima i identitetima paketa, biblioteka osigurava da samo legitimne aplikacije mogu komunicirati s kritičnim komponentama sustava.
Prijelaz na detaljnu inspekciju na razini komponenti, mogućnost revizije CVE-a putem OSV-a i standardizacija OTA ažuriranja čine AndroidX Security State zlatnim standardom za poboljšanu mobilnu sigurnost. Integracijom ovih alata, kritični tijekovi rada postaju otporni, a krajnji korisnici su uvijek zaštićeni od najnovijih prijetnji u digitalnom krajoliku.