- Внедрение системы детального мониторинга, заменяющей монолитный патч безопасности компонентным анализом.
- Возможность проводить аудит конкретных уязвимостей посредством интеграции с базой данных OSV и отслеживания CVE.
- Стандартизация обмена данными между производителями и приложениями через поставщика состояния безопасности для управления обновлениями по беспроводной сети (OTA).
В наши дни обеспечить безопасность Android-смартфона — это, честно говоря, настоящая головная боль. Учитывая сложность экосистемы, разработчики раньше полагались на очень общий показатель, называемый уровнем безопасности (SPL), что было сродни попытке определить безопасность дома, глядя только на дату последнего капитального ремонта, не имея ни малейшего представления о том, сломан ли замок на задней двери.
Для устранения этого информационного пробела появились библиотеки AndroidX Security State и Security State Provider . Эти инструменты кардинально меняют ситуацию, обеспечивая детальную видимость каждого уголка системы, делая программное обеспечение по-настоящему устойчивым к атакам и позволяя приложениям принимать интеллектуальные решения на основе реальных доказательств, а не простых предположений, тем самым создавая модель нулевого доверия.
Прощайте, отдельные патчи: эра детализации.
Главная проблема, связанная с использованием одной библиотеки SPL, заключается в том, что Android теперь обновляется по частям благодаря Project Mainline и системным обновлениям Google Play. Чтобы навести порядок в этом хаосе, новые библиотеки разделяют безопасность на три столпа: ядро операционной системы (обновляемое по беспроводной сети), системные модули (поставляемые через Google Play) и ядро Linux , которое является основой всего и оценивается по версиям LTS, а не по ежемесячным датам выпуска.
Для каждого из этих компонентов можно обратиться к трем различным состояниям, что дает полную картину ситуации:
- Уровень звукового давления устройства (DSPL): Это показывает, что установлено и запущено на устройстве в данный момент, без необходимости подключения к интернету.
- Опубликованный SPL (PSPL): Это самая последняя версия, официально опубликованная в бюллетене безопасности Android.
- Доступный уровень звукового давления (ASPL): Это позволяет определить, загружено ли уже какое-либо обновление или оно готово к установке посредством механизма межпроцессного взаимодействия (IPC).
Контроль уязвимостей и аудит CVE.
Одним из главных преимуществ является интеграция с базой данных уязвимостей открытого исходного кода (OSV) . Теперь не нужно гадать, исправляет ли патч конкретного месяца ту или иную уязвимость; можно программно отслеживать конкретные CVE .
Это бесценно для финтех-компаний, банковского сектора и здравоохранения, поскольку позволяет ограничивать переводы крупных сумм или доступ к конфиденциальным данным, если обнаруживается, что на устройстве все еще активна критическая уязвимость Bluetooth или NFC . Например, такие недостатки, как запись за пределы допустимого диапазона в libimagecodec.quram.so, могут позволить удаленным злоумышленникам выполнять произвольный код, превращая устаревшее устройство в бэкдор для корпоративных сетей.
Техническое внедрение и рабочий процесс
Для запуска программы разработчику необходимо добавить соответствующую зависимость. androidx.security:security-state:1.1.0 в вашем файле Gradle. Инициализация проста и требует контекста Android, хотя скорость можно повысить, передав отчет об уязвимости в формате JSON непосредственно в конструктор. SecurityPatchState.
Рабочий процесс, как правило, делится на три типа проверок:
- Синхронные проверки: Они используются для проверки DSPL при запуске приложения и сравнения его с обязательной базовой датой.
- Асинхронные запросы: через
fetchAvailableSecurityPatchLevelПриложение может уведомить пользователя о наличии ожидающего обновления и перенаправить его в настройки. - Углублённые аудиты: В лице
queryAllAvailableUpdatesВы можете проанализировать актуальность данных и выяснить, какой поставщик обновлений отвечает на запрос.
Важно отметить, что поддержка различается в зависимости от версии системы. В то время как Android 11 и более поздние версии обеспечивают полную поддержку, Android 10 не имеет официальной поддержки ядра, а в версиях 9 и более ранних, где не существовало модулей Project Mainline, система по умолчанию возвращает дату Unix (1970-01-01) .
Роль поставщика состояния безопасности и новые функции в Android 17
Для корректной работы всей системы необходимо, чтобы кто-то сообщал о наличии обновлений. Именно здесь вступает в дело поставщик состояния безопасности (Security State Provider) , стандартизирующий способ передачи информации от клиентов обновлений в ASPL. Ранее информация об обновлениях по воздуху (OTA) от каждого производителя хранилась в закрытых хранилищах; теперь же любое авторизованное приложение может получить доступ к этим данным независимо от марки телефона.
Кроме того, Android 17 представил существенное улучшение для производителей оборудования (OEM) благодаря файлу XML с дополнительными патчами (Supplemental Patches XML ). Это позволяет им объявлять о внедренных ими исправлениях безопасности, не дожидаясь глобального выпуска SPL, гарантируя, что текущие усилия по исправлению ошибок будут немедленно учтены, и устройство не будет выглядеть уязвимым даже после того, как оно будет защищено.
Другие инструменты в экосистеме безопасности AndroidX
Помимо состояния системы, существуют и другие ключевые компоненты. Библиотека security-crypto необходима для управления ключами и шифрования файлов или SharedPreferences. Хотя некоторые версии JetSec уже устарели, лучше не злоупотреблять хранением конфиденциальных данных, поскольку модель песочницы Android и шифрование на основе файлов и так достаточно надежны.
Также заслуживает внимания библиотека security-app-authenticator , которая упрощает проверку надежности приложения на основе его идентификатора подписи. Используя XML с именами пакетов и идентификаторами, библиотека гарантирует, что только легитимные приложения могут взаимодействовать с критически важными компонентами системы.
Переход к детальной проверке на уровне компонентов, возможность аудита уязвимостей CVE через OSV и стандартизация OTA-обновлений делают AndroidX Security State золотым стандартом для повышения безопасности мобильных устройств. Благодаря интеграции этих инструментов критически важные рабочие процессы становятся более отказоустойчивыми, а конечные пользователи всегда защищены от новейших угроз в цифровом пространстве.