מדריך מלא לספריות מצב אבטחה באנדרואיד

אינפורמטק דיגיטל » בטחון » מדריך מלא לספריות מצב אבטחה באנדרואיד

שמירה על אבטחת סמארטפון אנדרואיד בימינו היא, למען האמת, כאב ראש אמיתי. עם המורכבות של המערכת האקולוגית, מפתחים נהגו להסתמך על מדד כללי מאוד שנקרא רמת תיקון אבטחה (SPL), שהיה בעצם כמו לנסות לקבוע אם בית מאובטח רק על ידי התבוננות בתאריך השיפוץ הגדול האחרון, מבלי שיהיה להם מושג אם מנעול הדלת האחורית עדיין שבור.

כדי להתמודד עם פער המידע הזה, הגיעו ספריות מצב האבטחה וספק מצב האבטחה של AndroidX . כלים אלה משנים את כללי המשחק, ומציעים נראות מפורטת לכל פינה במערכת, מאפשרים לתוכנה להיות עמידה באמת בפני התקפות ומאפשרים לאפליקציות לקבל החלטות חכמות המבוססות על ראיות אמיתיות, ולא רק הנחות, ובכך יוצרים מודל של אפס אמון.

להתראות לטלאי היחיד: עידן הגרגיריות

הבעיה העיקרית בהסתמכות על SPL יחיד היא שאנדרואיד מתעדכן כעת בצורה חלקה הודות לפרויקט Mainline ולעדכוני מערכת Google Play. כדי להשליט סדר בכאוס הזה, הספריות החדשות מפרקות את האבטחה לשלושה עמודי תווך: מערכת ההפעלה הליבה (המתעדכנת באופן אלחוטי), מודולי מערכת (המסופקים דרך Google Play) וליבת לינוקס , שהיא הבסיס של הכל ונמדדת באמצעות גרסאות LTS ולא תאריכי יציאה חודשיים.

עבור כל אחד מהמרכיבים הללו, ניתן להתייעץ עם שלושה מצבים שונים, המעניקים תמונה מלאה של המצב:

• עוצמת שמע של המכשיר (DSPL): זה מציין מה מותקן ופועל על המכשיר באותו רגע בדיוק, ללא צורך בחיבור לאינטרנט.
• SPL שפורסם (PSPL): זהו הגרסה העדכנית ביותר שפורסמה רשמית בעלון האבטחה של אנדרואיד.
• SPL זמין (ASPL): זה מגלה אם יש עדכון שכבר הורד או מוכן להתקנה באמצעות מנגנון תקשורת בין-תהליכית (IPC).

בקרת פגיעויות וביקורת CVEs

אחת מתכשיטי הכתר היא האינטגרציה עם מסד הנתונים של פגיעויות בקוד פתוח (OSV) . אין עוד ניחושים הכרוכים בקביעת האם תיקון של חודש מסוים מתקן פגיעות ספציפית; כעת ניתן לעקוב באופן תכנותי אחר פגיעויות CVE ספציפיות .

זהו זהב טהור עבור יישומי פינטק, בנקאות או שירותי בריאות, מכיוון שהם יכולים להגביל העברות בעלות ערך גבוה או גישה לנתונים רגישים אם הם מזהים שפגיעות קריטית של Bluetooth או NFC עדיין פעילה במכשיר. לדוגמה, פגמים כמו כתיבה מחוץ לתחום אל libimagecodec.quram.so עלולים לאפשר לתוקפים מרוחקים לבצע קוד שרירותי, ולהפוך מכשיר מיושן לדלת אחורית לרשתות ארגוניות.

יישום טכניקה ושפעת טרבאחו

כדי להפעיל זאת, המפתח חייב להוסיף את התלות androidx.security:security-state:1.1.0 בקובץ Gradle שלך. האתחול פשוט ודורש הקשר של אנדרואיד, אם כי ניתן לשפר את המהירות על ידי העברת דוח פגיעות בפורמט JSON ישירות לבנאי. מצב תיקון אבטחה.

תהליך העבודה מחולק בדרך כלל לשלושה סוגי בדיקות:

• אימותים סינכרוניים: הם משמשים לבדיקת ה-DSPL כאשר האפליקציה מופעלת ולהשוואתה לתאריך בסיס חובה.
• שאילתות אסינכרוניות: באמצעות fetchAvailableSecurityPatchLevelהאפליקציה יכולה להודיע ​​למשתמש שיש עדכון ממתין ולהפנות אותו להגדרות.
• ביקורות מעמיקות: עם queryAllAvailableUpdates ניתן לנתח את עדכניות הנתונים ולגלות איזה ספק עדכונים מגיב.

חשוב לציין שהתמיכה משתנה בהתאם לגרסת המערכת. בעוד שאנדרואיד 11 ואילך מציעים תמיכה מלאה, לאנדרואיד 10 אין תמיכה רשמית בליבת המערכת, ובגרסאות 9 וגרסאות קודמות, בהן מודולי Project Mainline לא היו קיימים, המערכת מחזירה את תאריך יוניקס (1970-01-01) כברירת מחדל.

תפקידו של ספק מצב האבטחה ותכונות חדשות באנדרואיד 17

כדי שכל המערכת הזו תעבוד, מישהו צריך להודיע ​​שיש עדכונים זמינים. כאן נכנס לתמונה ספק מצב האבטחה , שמתקנן את האופן שבו לקוחות עדכונים מדווחים ל-ASPL. בעבר, מידע ה-OTA של כל יצרן היה נעול במאגרים קנייניים; כעת, כל אפליקציה מורשית יכולה לגשת לנתונים ללא קשר למותג הטלפון.

יתר על כן, אנדרואיד 17 הציגה שיפור רב עוצמה עבור יצרנים (OEMs) באמצעות קובץ XML של תיקונים משלימים . זה מאפשר להם להצהיר על תיקוני אבטחה משלהם מבלי להמתין לשחרור ה-SPL הגלובלי, מה שמבטיח שמאמצי התיקונים המתמשכים מזוהים באופן מיידי ושהמכשיר לא ייראה פגיע גם לאחר שהוא אבטח.

כלים נוספים במערכת האקולוגית של AndroidX Security

מעבר למצב המערכת, קיימים רכיבים מרכזיים נוספים. ספריית האבטחה-קריפטו חיונית לניהול מפתחות והצפנת קבצים או SharedPreferences. למרות שחלק מהגרסאות של JetSec מיושנות כעת, עדיף לא להשתמש יתר על המידה באחסון נתונים רגישים, מכיוון שמודל ארגז החול וההצפנה מבוססת הקבצים של אנדרואיד כבר חזקים מאוד.

כמו כן ראוי לציין את הפונקציה security-app-authenticator , אשר מפשטת את אימות האמינות של יישום על סמך זהות החתימה שלו. באמצעות XML עם שמות חבילות וזהויות, הספרייה מבטיחה שרק יישומים לגיטימיים יוכלו לקיים אינטראקציה עם רכיבי מערכת קריטיים.

המעבר לבדיקה מפורטת ברמת הרכיבים, היכולת לבצע ביקורת על CVEs באמצעות OSV, והסטנדרטיזציה של עדכוני OTA הופכים את AndroidX Security State לסטנדרט הזהב לאבטחה משופרת בנייד. על ידי שילוב כלים אלה, זרימות עבודה קריטיות הופכות לעמידות, ומשתמשי הקצה מוגנים תמיד מפני האיומים האחרונים בנוף הדיגיטלי.