- モノリシックなセキュリティパッチをコンポーネントベースの分析に置き換える、きめ細かな可視化システムの導入。
- OSVデータベースおよびCVE追跡システムとの統合により、特定の脆弱性を監査する機能。
- OTAアップデートを管理するためのセキュリティ状態プロバイダーを介した、メーカーとアプリケーション間の通信の標準化。
率直に言って、最近のAndroidスマートフォンを安全に保つのは本当に大変です。エコシステムが複雑化するにつれ、開発者はかつてセキュリティパッチレベル（SPL）と呼ばれる非常に一般的な指標に頼っていましたが、これはまるで裏口の鍵がまだ壊れているかどうかも分からないまま、最後に大規模な改修工事が行われた日付だけを見て家の安全性を判断しようとするようなものでした。
この情報ギャップに対処するため、AndroidX Security StateライブラリとSecurity State Providerライブラリが登場しました。これらのツールは画期的なもので、システムのあらゆる部分を詳細に可視化し、ソフトウェアが攻撃に対して真に耐性を持つようにし、アプリが単なる推測ではなく実際の証拠に基づいて賢明な判断を下せるようにすることで、ゼロトラストモデルを確立します。
単一パッチよ、さようなら：粒度化の時代へ
単一のSPLに依存することの大きな問題点は、AndroidがProject MainlineとGoogle Playのシステムアップデートによって断片的にアップデートされるようになったことです。この混乱を解消するために、新しいライブラリはセキュリティを3つの柱に分割しています。コアオペレーティングシステム（無線でアップデート）、システムモジュール（Google Play経由で配信）、そしてすべての基盤となるLinuxカーネルです。Linuxカーネルは、毎月のリリース日ではなく、LTSバージョンを使用して評価されます。
これらの各構成要素について、3つの異なる状態を参照することができ、状況を完全に把握できます。
- デバイスSPL（DSPL）： これは、インターネット接続を必要とせずに、その瞬間にデバイスにインストールされ実行されているものを表示します。
- 公開SPL（PSPL）： これは、Androidセキュリティ速報で公式に公開された最新バージョンを表しています。
- 利用可能なSPL（ASPL）： これは、プロセス間通信（IPC）メカニズムを介して、既にダウンロード済みのアップデートがあるか、またはインストール準備が整っているかどうかを示します。
脆弱性管理とCVE監査
最大の特長の一つは、オープンソース脆弱性データベース（OSV）との統合です。特定の月のパッチが特定の脆弱性を修正しているかどうかを推測する必要はもうありません。今では、特定のCVEをプログラムで追跡することが可能です。
これは、フィンテック、銀行、ヘルスケアなどのアプリケーションにとって非常に貴重な情報です。デバイス上で重大なBluetoothまたはNFCの脆弱性がまだ存在することを検出した場合、高額な送金や機密データへのアクセスを制限できるからです。例えば、libimagecodec.quram.soへの境界外書き込みなどの脆弱性があると、リモートの攻撃者が任意のコードを実行できるようになり、古いデバイスが企業ネットワークへのバックドアになってしまう可能性があります。
技術と業務の実施
これを動作させるには、開発者は依存関係を追加する必要があります。 androidx.security:security-state:1.1.0 Gradle ファイル内で、初期化は簡単で Android コンテキストが必要ですが、JSON 形式の脆弱性レポートをコンストラクタに直接渡すことで速度を向上させることができます。 セキュリティパッチの状態.
ワークフローは一般的に3種類のチェックに分けられます。
- 同期検証: これらは、アプリ起動時にDSPLを検査し、必須の基準日付と比較するために使用されます。
- 非同期クエリ: スルー
fetchAvailableSecurityPatchLevelアプリは、保留中のアップデートがあることをユーザーに通知し、設定画面にリダイレクトすることができます。 - 詳細な監査： とともに
queryAllAvailableUpdatesデータの鮮度を分析し、どの更新プロバイダーが応答しているかを確認できます。
システムバージョンによってサポート内容が異なる点に注意が必要です。Android 11以降では完全なサポートが提供されていますが、Android 10には公式のカーネルサポートがなく、Project Mainlineモジュールが存在しなかったバージョン9以前では、システムはデフォルトでUnixの日付（1970年01月01日）を返します。
セキュリティ状態プロバイダーの役割とAndroid 17の新機能
このシステム全体が機能するためには、誰かがアップデートが利用可能になったことを通知する必要があります。ここでセキュリティ状態プロバイダー（ ASPL）が登場し、アップデートクライアントがASPLに報告する方法を標準化します。以前は、各メーカーのOTA情報は独自のサイロに閉じ込められていましたが、今では、電話のブランドに関係なく、承認されたアプリであればどれでもデータにアクセスできます。
さらに、Android 17では、補足パッチXMLファイルを通じて、メーカー（OEM）にとって強力な改善が導入されました。これにより、グローバルなSPLリリースを待つことなく、独自に実装したセキュリティ修正を宣言できるようになり、進行中のパッチ適用作業が即座に認識され、セキュリティ対策が完了した後でもデバイスが脆弱に見えることがなくなります。
AndroidX Securityエコシステムにおけるその他のツール
システムの状態以外にも、重要なコンポーネントが存在します。セキュリティ暗号化ライブラリは、鍵の管理やファイルまたはSharedPreferencesの暗号化に不可欠です。JetSecの一部のバージョンは現在では廃止されていますが、Androidのサンドボックスモデルとファイルベースの暗号化は既に非常に堅牢であるため、機密データの保存場所を過剰に使用しないのが最善です。
また、security-app-authenticatorも注目すべきライブラリです。これは、署名IDに基づいてアプリケーションの信頼性を検証するプロセスを簡素化します。パッケージ名とIDを含むXMLを使用することで、このライブラリは、正当なアプリケーションのみが重要なシステムコンポーネントとやり取りできるようにします。
詳細なコンポーネントレベルの検査への移行、OSVを介したCVEの監査機能、OTAアップデートの標準化により、AndroidX Security Stateはモバイルセキュリティ強化のゴールドスタンダードとなっています。これらのツールを統合することで、重要なワークフローの回復力が高まり、エンドユーザーは常にデジタル環境における最新の脅威から保護されます。