- Implementácia granulárneho systému viditeľnosti, ktorý nahrádza monolitickú bezpečnostnú záplatu analýzou založenou na komponentoch.
- Možnosť auditovať špecifické zraniteľnosti prostredníctvom integrácie s databázou OSV a sledovaním CVE.
- Štandardizácia komunikácie medzi výrobcami a aplikáciami prostredníctvom poskytovateľa bezpečnostného stavu na správu aktualizácií OTA.
Udržiavanie zabezpečenia smartfónu s Androidom je v dnešnej dobe úprimne povedané poriadna záťaž. Vzhľadom na to, aký zložitý sa ekosystém stal, sa vývojári spoliehali na veľmi všeobecnú metriku nazývanú úroveň bezpečnostných záplat (SPL), čo bolo v podstate ako pokúsiť sa určiť, či je dom bezpečný, len na základe dátumu poslednej veľkej rekonštrukcie bez toho, aby ste vedeli, či je zámok zadných dverí stále pokazený.
Na vyplnenie tejto informačnej medzery prišli knižnice AndroidX Security State a Security State Provider . Tieto nástroje menia pravidlá hry, ponúkajú podrobný prehľad o každom kúte systému, umožňujú softvéru byť skutočne odolný voči útokom a aplikáciám umožňujú robiť inteligentné rozhodnutia na základe reálnych dôkazov, nie len predpokladov, čím sa vytvára model nulovej dôvery.
Zbohom jednej záplate: éra granularity
Hlavným problémom spoliehania sa na jediné SPL je, že Android sa teraz aktualizuje po kúskoch vďaka aktualizáciám systému Project Mainline a Google Play. Aby sa v tomto chaose vniesol poriadok, nové knižnice rozdeľujú bezpečnosť na tri piliere: jadro operačného systému (aktualizované bezdrôtovo), systémové moduly (dodávané prostredníctvom Google Play) a jadro Linuxu , ktoré je základom všetkého a meria sa pomocou verzií LTS, a nie mesačných dátumov vydania.
Pre každú z týchto zložiek je možné konzultovať tri rôzne štáty, čo poskytuje ucelený obraz o situácii:
- Zvukový tlak zariadenia (DSPL): Zobrazuje, čo je v danom okamihu nainštalované a spustené na zariadení, bez potreby internetového pripojenia.
- Publikované SPL (PSPL): Predstavuje najnovšiu verziu oficiálne publikovanú v bezpečnostnom bulletine systému Android.
- Dostupný akustický tlak (ASPL): Prostredníctvom mechanizmu medziprocesovej komunikácie (IPC) ukazuje, či už je aktualizácia stiahnutá alebo pripravená na inštaláciu.
Kontrola zraniteľností a audit CVE
Jedným z klenotov je integrácia s databázou zraniteľností s otvoreným zdrojovým kódom (OSV) . Už nie je potrebné dohadovať, či oprava z daného mesiaca opravuje konkrétnu zraniteľnosť; teraz je možné programovo sledovať konkrétne CVE .
Toto je čisté zlato pre fintech, bankovníctvo alebo zdravotníctvo, pretože môžu obmedziť prevody vysokej hodnoty alebo prístup k citlivým údajom, ak zistia, že na zariadení je stále aktívna kritická zraniteľnosť Bluetooth alebo NFC . Napríklad chyby, ako je zápis mimo hraníc do libimagecodec.quram.so, by mohli umožniť vzdialeným útočníkom spustiť ľubovoľný kód, čím by sa zastarané zariadenie premenilo na zadné vrátka do podnikových sietí.
Implementación técnica y flujo de trabajo
Aby to bolo možné spustiť, vývojár musí pridať závislosť androidx.security:security-state:1.1.0 vo vašom Gradle súbore. Inicializácia je jednoduchá a vyžaduje kontext systému Android, hoci rýchlosť sa dá zlepšiť odoslaním hlásenia o zraniteľnosti vo formáte JSON priamo do konštruktora. Stav bezpečnostnej záplaty.
Pracovný postup je vo všeobecnosti rozdelený do troch typov kontrol:
- Synchrónne overenia: Používajú sa na kontrolu DSPL pri spustení aplikácie a na jej porovnanie s povinným základným dátumom.
- Asynchrónne dotazy: skrz
fetchAvailableSecurityPatchLevelAplikácia môže používateľa upozorniť na čakajúcu aktualizáciu a presmerovať ho na nastavenia. - Hĺbkové audity: s
queryAllAvailableUpdatesMôžete analyzovať aktuálnosť údajov a zistiť, ktorý poskytovateľ aktualizácií odpovedá.
Je dôležité poznamenať, že podpora sa líši v závislosti od verzie systému. Zatiaľ čo Android 11 a novšie verzie ponúkajú plnú podporu, Android 10 nemá oficiálnu podporu jadra a vo verziách 9 a starších, kde moduly Project Mainline neexistovali, systém štandardne vracia dátum Unixu (1970-01-01) .
Úloha poskytovateľa bezpečnostného stavu a nové funkcie v systéme Android 17
Aby celý tento systém fungoval, niekto musí oznámiť, že sú k dispozícii aktualizácie. Tu prichádza na rad poskytovateľ bezpečnostného stavu (Security State Provider) , ktorý štandardizuje spôsob, akým klienti aktualizácií hlásia ASPL. Predtým boli informácie OTA každého výrobcu uzamknuté v proprietárnych oddeleniach; teraz má k údajom prístup akákoľvek autorizovaná aplikácia bez ohľadu na značku telefónu.
Okrem toho Android 17 priniesol pre výrobcov (OEM) výrazné vylepšenie prostredníctvom súboru XML s doplnkovými opravami . To im umožňuje deklarovať vlastné implementované bezpečnostné opravy bez čakania na globálne vydanie SPL, čím sa zabezpečí, že prebiehajúce snahy o opravy budú okamžite rozpoznané a že zariadenie sa nebude javiť ako zraniteľné ani po zabezpečení.
Ďalšie nástroje v ekosystéme zabezpečenia AndroidX
Okrem stavu systému existujú aj ďalšie kľúčové komponenty. Knižnica security-crypto je nevyhnutná na správu kľúčov a šifrovanie súborov alebo SharedPreferences. Hoci niektoré verzie JetSec sú už zastarané, je najlepšie nepreháňať používanie úložiska citlivých údajov, pretože model sandboxu systému Android a šifrovanie založené na súboroch sú už teraz veľmi robustné.
Za zmienku stojí aj knižnica security-app-authenticator , ktorá zjednodušuje overovanie dôveryhodnosti aplikácie na základe jej podpisovej identity. Pomocou XML s názvami a identitami balíkov táto knižnica zabezpečuje, že s kritickými systémovými komponentmi môžu interagovať iba legitímne aplikácie .
Prechod na podrobnú kontrolu na úrovni komponentov, možnosť auditovať CVE prostredníctvom OSV a štandardizácia aktualizácií OTA robia z AndroidX Security State zlatý štandard pre vylepšenú mobilnú bezpečnosť. Integráciou týchto nástrojov sa kritické pracovné postupy stávajú odolnými a koncoví používatelia sú vždy chránení pred najnovšími hrozbami v digitálnom prostredí.