- Pagpapatupad ng isang granular visibility system na papalit sa monolithic security patch ng isang component-based analysis.
- Kakayahang i-audit ang mga partikular na kahinaan sa pamamagitan ng integrasyon sa OSV database at pagsubaybay sa CVEs.
- Istandardisasyon ng komunikasyon sa pagitan ng mga tagagawa at mga aplikasyon sa pamamagitan ng Security State Provider upang pamahalaan ang mga update sa OTA.
Sa totoo lang, ang pagpapanatiling ligtas ng isang Android smartphone sa mga panahong ito ay isang tunay na sakit ng ulo. Dahil sa kung gaano na kakumplikado ang ecosystem, ang mga developer ay dating umaasa sa isang napaka-pangkalahatang sukatan na tinatawag na Security Patch Level (SPL), na parang pagsubok na matukoy kung ligtas ang isang bahay sa pamamagitan lamang ng pagtingin sa petsa ng huling malaking renobasyon, nang walang ideya kung sira pa rin ang kandado ng pinto sa likod.
Upang matugunan ang kakulangan sa impormasyong ito, dumating na ang mga library ng AndroidX Security State at Security State Provider . Ang mga tool na ito ay nakapagpabago ng mga pangyayari, na nag-aalok ng detalyadong visibility sa bawat sulok ng system, na nagbibigay-daan sa software na maging tunay na matatag sa mga pag-atake at nagpapahintulot sa mga app na gumawa ng matatalinong desisyon batay sa totoong ebidensya, hindi lamang mga pagpapalagay, sa gayon ay nagtatatag ng isang zero-trust model.
Paalam sa iisang patch: ang panahon ng granularity
Ang pangunahing problema sa pag-asa sa iisang SPL ay ang Android ngayon ay unti-unting ina-update dahil sa mga update ng Project Mainline at Google Play system. Upang maisaayos ang kaguluhang ito, hinahati ng mga bagong library ang seguridad sa tatlong haligi: ang pangunahing operating system (ina-update sa pamamagitan ng himpapawid), mga system module (inihahatid sa pamamagitan ng Google Play), at ang Linux kernel , na siyang pundasyon ng lahat at sinusukat gamit ang mga bersyon ng LTS sa halip na buwanang petsa ng paglabas.
Para sa bawat isa sa mga sangkap na ito, maaaring konsultahin ang tatlong magkakaibang estado, na nagbibigay ng kumpletong larawan ng sitwasyon:
- Kagamitang SPL (DSPL): Ipinapahiwatig nito kung ano ang naka-install at tumatakbo sa device sa eksaktong sandaling iyon, nang hindi nangangailangan ng koneksyon sa internet.
- Na-publish na SPL (PSPL): Ito ang pinakabagong bersyon na opisyal na inilathala sa bulletin ng seguridad ng Android.
- Magagamit na SPL (ASPL): Ipinapakita nito kung mayroong update na na-download na o handa nang i-install sa pamamagitan ng mekanismo ng inter-process communication (IPC).
Pagkontrol sa kahinaan at pag-audit ng mga CVE
Isa sa mga pinakamagandang katangian ay ang integrasyon nito sa Open Source Vulnerabilities (OSV) database . Wala nang anumang panghuhula na kailangan sa pagtukoy kung naaayos ba ng patch para sa isang partikular na buwan ang isang partikular na kahinaan; posible na ngayong subaybayan nang programatiko ang mga partikular na CVE .
Ito ay isang tunay na ginto para sa mga aplikasyon ng fintech, pagbabangko, o pangangalagang pangkalusugan, dahil maaari nilang paghigpitan ang mga high-value na paglilipat o pag-access sa sensitibong data kung matukoy nila na ang isang kritikal na kahinaan sa Bluetooth o NFC ay aktibo pa rin sa device. Halimbawa, ang mga depekto tulad ng out-of-bounds na pagsusulat sa libimagecodec.quram.so ay maaaring magpahintulot sa mga remote attacker na magpatupad ng arbitraryong code, na ginagawang backdoor ang isang lumang device sa mga corporate network.
Implementación técnica y flujo de trabajo
Para mapagana ito, dapat idagdag ng developer ang dependency androidx.security:security-state:1.1.0 sa iyong Gradle file. Simple lang ang initialization at nangangailangan ng konteksto ng Android, bagama't maaaring mapabuti ang bilis sa pamamagitan ng pagpasa ng vulnerability report sa JSON format nang direkta sa constructor. Estado ng SecurityPatch.
Ang daloy ng trabaho ay karaniwang nahahati sa tatlong uri ng mga tseke:
- Mga sabay-sabay na pag-verify: Ginagamit ang mga ito upang siyasatin ang DSPL kapag nagsimula ang app at ihambing ito sa isang mandatoryong base date.
- Mga asynchronous na query: sa pamamagitan ng
fetchAvailableSecurityPatchLevelMaaaring abisuhan ng app ang user na may nakabinbing update at i-redirect sila sa mga setting. - Malalim na mga pag-audit: may
queryAllAvailableUpdatesMaaari mong suriin ang pagiging bago ng data at alamin kung aling provider ng update ang tumutugon.
Mahalagang tandaan na ang suporta ay nag-iiba depende sa bersyon ng system. Bagama't nag-aalok ang Android 11 at mga mas bagong bersyon ng buong suporta, ang Android 10 ay walang opisyal na suporta sa kernel, at sa mga bersyon 9 at mga mas nauna, kung saan wala pang mga module ng Project Mainline, ibinabalik ng system ang petsa ng Unix (1970-01-01) bilang default.
Ang papel ng Security State Provider at mga bagong feature sa Android 17
Para gumana ang buong sistemang ito, kailangang may mag-anunsyo na may mga update na available. Dito pumapasok ang Security State Provider , na nag-iistandardize kung paano nag-uulat ang mga update client sa ASPL. Dati, ang impormasyon ng OTA ng bawat tagagawa ay nakakulong sa mga proprietary silo; ngayon, maaaring ma-access ng anumang awtorisadong app ang data anuman ang brand ng telepono.
Bukod pa rito, nagpakilala ang Android 17 ng isang malakas na pagpapabuti para sa mga tagagawa (OEM) sa pamamagitan ng isang Supplemental Patches XML file . Nagbibigay-daan ito sa kanila na ideklara ang kanilang sariling mga ipinatupad na pag-aayos sa seguridad nang hindi na hinihintay ang pandaigdigang paglabas ng SPL, tinitiyak na ang patuloy na mga pagsisikap sa pag-patch ay agad na makikilala at ang device ay hindi magmumukhang mahina kahit na matapos itong ma-secure.
Iba pang mga tool sa ecosystem ng AndroidX Security
Bukod sa estado ng sistema, mayroon pang ibang mahahalagang bahagi. Ang security-crypto library ay mahalaga para sa pamamahala ng mga key at pag-encrypt ng mga file o SharedPreferences. Bagama't lipas na ang ilang bersyon ng JetSec ngayon, mainam na huwag masyadong gamitin ang imbakan ng sensitibong data, dahil ang sandbox model at file-based encryption ng Android ay napakatibay na.
Kapansin-pansin din ang security-app-authenticator , na nagpapadali sa pag-verify ng pagiging mapagkakatiwalaan ng isang application batay sa pagkakakilanlan nito sa paglagda. Gamit ang XML na may mga pangalan at pagkakakilanlan ng package, tinitiyak ng library na tanging ang mga lehitimong application lamang ang maaaring makipag-ugnayan sa mga kritikal na bahagi ng system.
Ang paglipat sa detalyadong inspeksyon sa antas ng bahagi, ang kakayahang i-audit ang mga CVE sa pamamagitan ng OSV, at ang standardisasyon ng mga OTA update ang siyang dahilan kung bakit ang AndroidX Security State ang gintong pamantayan para sa pinahusay na seguridad sa mobile. Sa pamamagitan ng pagsasama ng mga tool na ito, ang mga kritikal na daloy ng trabaho ay nagiging matatag, at ang mga end user ay palaging protektado laban sa mga pinakabagong banta sa digital na tanawin.