- Wdrożenie szczegółowego systemu widoczności, który zastępuje monolityczną poprawkę bezpieczeństwa analizą opartą na komponentach.
- Możliwość audytu konkretnych luk w zabezpieczeniach poprzez integrację z bazą danych OSV i śledzenie CVE.
- Standaryzacja komunikacji między producentami i aplikacjami za pośrednictwem dostawcy bezpieczeństwa w celu zarządzania aktualizacjami OTA.
Dbanie o bezpieczeństwo smartfona z Androidem to w dzisiejszych czasach prawdziwy ból głowy. Biorąc pod uwagę złożoność ekosystemu, deweloperzy opierali się na bardzo ogólnym wskaźniku zwanym poziomem poprawek zabezpieczeń (Security Patch Level, SPL). Było to w zasadzie jak próba ustalenia, czy dom jest bezpieczny, patrząc tylko na datę ostatniego gruntownego remontu, bez wiedzy, czy zamek w tylnych drzwiach nadal jest zepsuty.
Aby załatać tę lukę informacyjną, pojawiły się biblioteki AndroidX Security State i Security State Provider . Te narzędzia to prawdziwy przełom, oferując szczegółowy wgląd w każdy zakątek systemu, umożliwiając oprogramowaniu prawdziwą odporność na ataki i umożliwiając aplikacjom podejmowanie inteligentnych decyzji w oparciu o rzeczywiste dowody, a nie tylko założenia, ustanawiając w ten sposób model zerowego zaufania.
Żegnaj, pojedyncza łatka: era granularności
Głównym problemem związanym z poleganiem na jednym SPL jest to, że Android jest teraz aktualizowany fragmentarycznie dzięki Project Mainline i aktualizacjom systemowym Google Play. Aby uporządkować ten chaos, nowe biblioteki dzielą bezpieczeństwo na trzy filary: rdzeń systemu operacyjnego (aktualizowany bezprzewodowo), moduły systemowe (dostarczane za pośrednictwem Google Play) oraz jądro Linuksa , które stanowi fundament wszystkiego i jest mierzone za pomocą wersji LTS, a nie miesięcznych dat wydania.
Dla każdego z tych komponentów można odnieść się do trzech różnych stanów, co daje pełny obraz sytuacji:
- Urządzenie SPL (DSPL): Informuje, co jest zainstalowane i uruchomione na urządzeniu w danym momencie, bez konieczności połączenia z Internetem.
- Opublikowana SPL (PSPL): Jest to najnowsza wersja oficjalnie opublikowana w biuletynie bezpieczeństwa systemu Android.
- Dostępny SPL (ASPL): Informuje, czy aktualizacja została już pobrana lub jest gotowa do zainstalowania, za pomocą mechanizmu komunikacji międzyprocesowej (IPC).
Kontrola podatności i audyt CVE
Jednym z klejnotów w koronie jest integracja z bazą danych luk w zabezpieczeniach Open Source (OSV) . Nie trzeba już zgadywać, czy poprawka z danego miesiąca naprawia konkretną lukę; teraz możliwe jest programowe śledzenie konkretnych luk CVE .
To prawdziwy skarb dla aplikacji fintech, bankowych i opieki zdrowotnej, ponieważ mogą one ograniczyć przelewy o dużej wartości lub dostęp do poufnych danych, jeśli wykryją, że na urządzeniu nadal aktywna jest krytyczna luka w zabezpieczeniach Bluetooth lub NFC . Na przykład, luki takie jak zapis poza zakresem uprawnień do libimagecodec.quram.so mogą umożliwić zdalnym atakującym wykonanie dowolnego kodu, przekształcając przestarzałe urządzenie w furtkę do sieci korporacyjnych.
Implementación técnica y flujo de trabajo
Aby to uruchomić, programista musi dodać zależność androidx.security:security-state:1.1.0 w pliku Gradle. Inicjalizacja jest prosta i wymaga kontekstu Androida, ale szybkość można zwiększyć, przekazując raport o podatności w formacie JSON bezpośrednio do konstruktora. SecurityPatchState.
Przepływ pracy można ogólnie podzielić na trzy rodzaje kontroli:
- Weryfikacje synchroniczne: Służą one do sprawdzania DSPL podczas uruchamiania aplikacji i porównywania go z obowiązkową datą bazową.
- Zapytania asynchroniczne: przez
fetchAvailableSecurityPatchLevelAplikacja może powiadomić użytkownika o oczekującej aktualizacji i przekierować go do ustawień. - Audyty szczegółowe: z
queryAllAvailableUpdatesMożesz przeanalizować aktualność danych i dowiedzieć się, który dostawca aktualizacji odpowiada.
Należy pamiętać, że wsparcie różni się w zależności od wersji systemu. Podczas gdy Android 11 i nowsze oferują pełne wsparcie, Android 10 nie ma oficjalnego wsparcia jądra, a w wersjach 9 i starszych, w których nie istniały moduły Project Mainline, system domyślnie zwraca datę uniksową (1970-01-01).
Rola dostawcy bezpieczeństwa państwa i nowe funkcje w systemie Android 17
Aby cały ten system działał, ktoś musi ogłosić dostępność aktualizacji. W tym miejscu pojawia się Dostawca Bezpieczeństwa Państwa , który standaryzuje sposób, w jaki klienci aktualizacji zgłaszają się do ASPL. Wcześniej informacje OTA każdego producenta były zamknięte w zastrzeżonych silosach; teraz każda autoryzowana aplikacja może uzyskać dostęp do danych, niezależnie od marki telefonu.
Co więcej, Android 17 wprowadził istotne ulepszenie dla producentów (OEM) w postaci pliku XML poprawek uzupełniających . Pozwala im to deklarować własne, wdrożone poprawki bezpieczeństwa bez czekania na globalne wydanie SPL, gwarantując natychmiastowe rozpoznanie trwających prac łatkowych i brak podatności urządzenia nawet po jego zabezpieczeniu.
Inne narzędzia w ekosystemie AndroidX Security
Oprócz stanu systemu istnieją inne kluczowe komponenty. Biblioteka security-crypto jest niezbędna do zarządzania kluczami i szyfrowania plików lub SharedPreferences. Chociaż niektóre wersje JetSec są już przestarzałe, najlepiej nie nadużywać pamięci masowej dla poufnych danych, ponieważ model piaskownicy Androida i szyfrowanie oparte na plikach są już bardzo solidne.
Na uwagę zasługuje również security-app-authenticator , który upraszcza weryfikację wiarygodności aplikacji na podstawie jej podpisu. Wykorzystując XML z nazwami i tożsamościami pakietów, biblioteka zapewnia, że tylko legalne aplikacje mogą wchodzić w interakcję z krytycznymi komponentami systemu.
Przejście na szczegółową inspekcję na poziomie komponentów, możliwość audytu luk bezpieczeństwa (CVE) za pośrednictwem OSV oraz standaryzacja aktualizacji OTA sprawiają, że AndroidX Security State jest złotym standardem w zakresie zaawansowanego bezpieczeństwa urządzeń mobilnych. Dzięki integracji tych narzędzi krytyczne procesy stają się odporne, a użytkownicy końcowi są zawsze chronieni przed najnowszymi zagrożeniami w środowisku cyfrowym.