Popoln vodnik po knjižnicah varnostnega stanja v sistemu Android

Informatec Digital » varnost » Popoln vodnik po knjižnicah varnostnega stanja v sistemu Android

Ohranjanje varnosti pametnega telefona Android je danes, odkrito povedano, prava muka. Zaradi kompleksnosti ekosistema so se razvijalci včasih zanašali na zelo splošno metriko, imenovano raven varnostnih popravkov (SPL), kar je bilo v bistvu podobno, kot če bi poskušali ugotoviti, ali je hiša varna, le na podlagi datuma zadnje večje prenove, ne da bi vedeli, ali je ključavnica zadnjih vrat še vedno pokvarjena.

Za odpravo te informacijske vrzeli sta na voljo knjižnici AndroidX Security State in Security State Provider . Ta orodja spreminjajo pravila igre, saj ponujajo podroben vpogled v vsak kotiček sistema, omogočajo programski opremi, da je resnično odporna na napade, aplikacijam pa omogočajo sprejemanje inteligentnih odločitev na podlagi resničnih dokazov in ne zgolj predpostavk, s čimer vzpostavljajo model ničelnega zaupanja.

Zbogom enemu samemu popravku: doba granularnosti

Glavna težava pri zanašanju na eno samo knjižnico SPL je, da se Android zdaj posodablja po delih zaradi posodobitev sistema Project Mainline in Google Play. Da bi v ta kaos vnesli red, nove knjižnice varnost razdelijo na tri stebre: osrednji operacijski sistem (posodablja se po zraku), sistemske module (dostavljene prek Google Play) in jedro Linuxa , ki je temelj vsega in se meri z različicami LTS in ne z mesečnimi datumi izdaje.

Za vsako od teh komponent se je mogoče posvetovati s tremi različnimi državami, kar daje celovito sliko stanja:

• Zvočni tlak naprave (DSPL): Prikazuje, kaj je nameščeno in se izvaja v napravi v tistem natančnem trenutku, ne da bi bila potrebna internetna povezava.
• Objavljeni SPL (PSPL): Predstavlja najnovejšo različico, uradno objavljeno v varnostnem biltenu za Android.
• Razpoložljivi zvočni tlak (ASPL): Razkrije, ali je posodobitev že prenesena ali pripravljena za namestitev prek mehanizma medprocesne komunikacije (IPC).

Nadzor ranljivosti in revizija CVE

Eden od biserov v kroni je integracija z bazo podatkov o ranljivostih odprte kode (OSV) . Pri ugotavljanju, ali popravek za določen mesec odpravlja določeno ranljivost, ni več potrebno ugibanje; zdaj je mogoče programsko slediti določenim CVE .

To je čisti zlati rudnik za fintech, bančne ali zdravstvene aplikacije, saj lahko omejijo prenose visokih vrednosti ali dostop do občutljivih podatkov, če zaznajo, da je v napravi še vedno aktivna kritična ranljivost Bluetooth ali NFC . Na primer, napake, kot je pisanje izven meja v libimagecodec.quram.so, bi lahko oddaljenim napadalcem omogočile izvajanje poljubne kode, s čimer bi zastarelo napravo spremenili v zadnja vrata v poslovna omrežja.

Implementación técnica y flujo de trabajo

Da bi to zagnal in zagnal, mora razvijalec dodati odvisnost androidx.security:security-state:1.1.0 v datoteki Gradle. Inicializacija je preprosta in zahteva kontekst Android, čeprav je hitrost mogoče izboljšati s posredovanjem poročila o ranljivosti v formatu JSON neposredno konstruktorju. Varnostni popravekStanje.

Delovni tok je običajno razdeljen na tri vrste preverjanj:

• Sinhrone verifikacije: Uporabljajo se za pregled DSPL ob zagonu aplikacije in za primerjavo z obveznim osnovnim datumom.
• Asinhrone poizvedbe: Skozi fetchAvailableSecurityPatchLevelAplikacija lahko uporabnika obvesti, da je na voljo posodobitev, in ga preusmeri na nastavitve.
• Poglobljene revizije: z queryAllAvailableUpdates Analizirate lahko ažurnost podatkov in ugotovite, kateri ponudnik posodobitev se odziva.

Pomembno je omeniti, da se podpora razlikuje glede na različico sistema. Medtem ko Android 11 in novejši ponujajo polno podporo, Android 10 nima uradne podpore za jedro, v različicah 9 in starejših, kjer moduli Project Mainline niso obstajali, pa sistem privzeto vrne datum Unix (1970-01-01).

Vloga ponudnika varnostnega stanja in nove funkcije v sistemu Android 17

Da bi celoten sistem deloval, mora nekdo objaviti, da so posodobitve na voljo. Tukaj nastopi ponudnik varnostnega stanja (Security State Provider) , ki standardizira način poročanja odjemalcev o posodobitvah ASPL. Prej so bili podatki OTA vsakega proizvajalca zaklenjeni v lastniških silosih; zdaj lahko do podatkov dostopa vsaka pooblaščena aplikacija ne glede na znamko telefona.

Poleg tega je Android 17 uvedel močno izboljšavo za proizvajalce (OEM) z datoteko XML z dodatnimi popravki . To jim omogoča, da objavijo svoje lastne implementirane varnostne popravke, ne da bi čakali na globalno izdajo SPL, kar zagotavlja, da so tekoča prizadevanja za popravke takoj prepoznana in da naprava ni videti ranljiva, tudi ko je zavarovana.

Druga orodja v ekosistemu AndroidX Security

Poleg stanja sistema obstajajo tudi druge ključne komponente. Knjižnica security-crypto je bistvena za upravljanje ključev in šifriranje datotek ali skupnih nastavitev (SharedPreferences). Čeprav so nekatere različice JetSec zdaj zastarele, je najbolje, da ne pretiravate s shranjevanjem občutljivih podatkov, saj sta Androidov model peskovnika in šifriranje na podlagi datotek že zelo robustna.

Omeniti velja tudi `security-app-athenticator` , ki poenostavlja preverjanje zaupanja vredne aplikacije na podlagi njene identitete podpisnika. Z uporabo XML-ja z imeni paketov in identitetami knjižnica zagotavlja, da lahko s kritičnimi sistemskimi komponentami komunicirajo le legitimne aplikacije .

Prehod na podroben pregled na ravni komponent, možnost revizije CVE prek OSV in standardizacija posodobitev OTA naredijo AndroidX Security State zlati standard za izboljšano mobilno varnost. Z integracijo teh orodij postanejo kritični delovni tokovi odporni, končni uporabniki pa so vedno zaščiteni pred najnovejšimi grožnjami v digitalni krajini.