Išsamus vadovas apie saugumo būsenos bibliotekas „Android“ sistemoje

Informatec Digital » saugumas » Išsamus vadovas apie saugumo būsenos bibliotekas „Android“ sistemoje

Šiais laikais užtikrinti „Android“ išmaniojo telefono saugumą, tiesą sakant, yra tikras galvos skausmas. Kadangi ekosistema tapo tokia sudėtinga, kūrėjai anksčiau rėmėsi labai bendru rodikliu, vadinamu saugumo pataisų lygiu (SPL), kuris iš esmės buvo panašus į bandymą nustatyti, ar namas yra saugus, žiūrint tik į paskutinio didelio remonto datą, neturint jokio supratimo, ar galinių durų spyna vis dar neveikia.

Siekiant užpildyti šią informacijos spragą, atsirado „AndroidX Security State“ ir „Security State Provider“ bibliotekos . Šios priemonės keičia žaidimo taisykles, suteikdamos išsamų kiekvieno sistemos kampelio matomumą, užtikrindamos programinės įrangos atsparumą atakoms ir leisdamos programoms priimti išmanius sprendimus, pagrįstus realiais įrodymais, o ne vien prielaidomis, taip sukuriant nulinio pasitikėjimo modelį.

Atsisveikinimas su vienu pataisymu: detalumo era

Pagrindinė problema, kylanti pasikliaujant vienu SPL, yra ta, kad „Android“ dabar atnaujinama dalimis dėl „Project Mainline“ ir „Google Play“ sistemos atnaujinimų. Siekiant įvesti tvarką šiame chaose, naujosios bibliotekos suskirsto saugumą į tris ramsčius: pagrindinę operacinę sistemą (atnaujinamą belaidžiu būdu), sistemos modulius (pristatomus per „Google Play“) ir „Linux“ branduolį , kuris yra visko pagrindas ir matuojamas naudojant LTS versijas, o ne mėnesines išleidimo datas.

Kiekvienam iš šių komponentų galima peržiūrėti tris skirtingas būsenas, kurios suteikia išsamų situacijos vaizdą:

• Įrenginio garso slėgio lygis (DSPL): Tai rodo, kas įrenginyje yra įdiegta ir veikia tuo konkrečiu momentu, nereikalaujant interneto ryšio.
• Paskelbtas SPL (PSPL): Tai naujausia versija, oficialiai paskelbta „Android“ saugos biuletenyje.
• Galimas garso slėgio lygis (ASPL): Tai parodo, ar jau yra atsisiųstas arba paruoštas diegti atnaujinimas, naudojant tarpprocesinį komunikacijos (IPC) mechanizmą.

Pažeidžiamumų kontrolė ir CVE auditas

Vienas iš svarbiausių privalumų yra integracija su atvirojo kodo pažeidžiamumų (OSV) duomenų baze . Nebereikia spėlioti, ar konkretaus mėnesio pataisymas ištaiso konkretų pažeidžiamumą; dabar galima programiškai sekti konkrečius CVE .

Tai grynas auksas finansinių technologijų, bankininkystės ar sveikatos priežiūros programoms, nes jos gali apriboti didelės vertės pervedimus arba prieigą prie jautrių duomenų, jei aptinka, kad įrenginyje vis dar aktyvus kritinis „Bluetooth“ arba NFC pažeidžiamumas . Pavyzdžiui, tokie trūkumai kaip ribų neperžengiantis rašymas į libimagecodec.quram.so gali leisti nuotoliniams užpuolikams vykdyti savavališką kodą, paversdami pasenusį įrenginį užpakalinėmis durimis į įmonių tinklus.

Implementación técnica y flujo de trabajo

Kad tai veiktų, kūrėjas turi pridėti priklausomybę androidx.security:security-state:1.1.0 jūsų „Gradle“ faile. Inicializavimas yra paprastas ir reikalauja „Android“ konteksto, nors greitį galima padidinti perduodant pažeidžiamumo ataskaitą JSON formatu tiesiai konstruktoriui. Saugumo pataisos būsena.

Darbo eiga paprastai skirstoma į tris patikrinimų tipus:

• Sinchroniniai patikrinimai: Jie naudojami DSPL patikrinimui, kai programa paleidžiama, ir palyginimui su privaloma bazine data.
• Asinchroninės užklausos: per fetchAvailableSecurityPatchLevelProgramėlė gali pranešti vartotojui apie laukiantį atnaujinimą ir nukreipti jį į nustatymus.
• Išsamūs auditai: su queryAllAvailableUpdates Galite analizuoti duomenų naujumą ir sužinoti, kuris atnaujinimų teikėjas atsako.

Svarbu atkreipti dėmesį, kad palaikymas skiriasi priklausomai nuo sistemos versijos. Nors „Android 11“ ir naujesnės versijos siūlo visišką palaikymą, „Android 10“ oficialiai nepalaiko branduolio, o 9 ir ankstesnėse versijose, kuriose nebuvo „Project Mainline“ modulių, sistema pagal numatytuosius nustatymus grąžina „ Unix“ datą (1970-01-01).

Saugos būsenos teikėjo vaidmuo ir naujos „Android 17“ funkcijos

Kad visa ši sistema veiktų, kažkas turi pranešti apie prieinamus atnaujinimus. Čia įsijungia saugos būsenos teikėjas (SPS) , standartizuojantis, kaip atnaujinimų klientai teikia ataskaitas ASPL. Anksčiau kiekvieno gamintojo OTA informacija buvo užrakinta nuosavybės teise saugomose saugyklose; dabar bet kuri įgaliota programa gali pasiekti duomenis, nepriklausomai nuo telefono prekės ženklo.

Be to, „Android 17“ versijoje buvo įdiegtas galingas patobulinimas gamintojams (OEM) – papildomų pataisų XML failas . Tai leidžia jiems deklaruoti savo įdiegtus saugumo pataisymus nelaukiant visuotinio SPL leidimo, užtikrinant, kad vykdomi pataisymai būtų nedelsiant atpažinti ir kad įrenginys neatrodytų pažeidžiamas net ir po to, kai jis buvo apsaugotas.

Kiti „AndroidX Security“ ekosistemos įrankiai

Be sistemos būsenos, egzistuoja ir kiti svarbūs komponentai. „ security-crypto“ biblioteka yra būtina raktams valdyti ir failams arba „SharedPreferences“ šifruoti. Nors kai kurios „JetSec“ versijos jau pasenusios, geriausia nepersistengti su jautrių duomenų saugykla, nes „Android“ smėlio dėžės modelis ir failais pagrįstas šifravimas jau yra labai patikimi.

Taip pat verta paminėti „security-app-authenticator“ , kuris supaprastina programos patikimumo tikrinimą pagal jos pasirašymo tapatybę. Naudodama XML su paketų pavadinimais ir tapatybėmis, biblioteka užtikrina, kad tik teisėtos programos galėtų sąveikauti su svarbiausiais sistemos komponentais.

Perėjimas prie išsamaus komponentų lygio tikrinimo, galimybė audituoti CVE per OSV ir OTA atnaujinimų standartizavimas paverčia „AndroidX Security State“ auksiniu standartu, užtikrinančiu patobulintą mobiliųjų įrenginių saugumą. Integruojant šiuos įrankius, svarbiausi darbo eigos tampa atsparios, o galutiniai vartotojai visada yra apsaugoti nuo naujausių grėsmių skaitmeninėje erdvėje.