पेश है AndroidX Security State Libraries: डिवाइस की सुरक्षा की एक ही जगह पर पूरी जानकारी

Android टीम, डेवलपर और एंटरप्राइज़ पार्टनर को वह डेटा उपलब्ध कराने के लिए लगातार काम कर रही है जिसकी मदद से डिवाइसों को सुरक्षित रखा जा सके. हमें यह बताते हुए खुशी हो रही है कि हमने AndroidX Security State वर्शन 1.1.0 और Security State Provider वर्शन 1.0.0 लाइब्रेरी को स्टेबल वर्शन के तौर पर रिलीज़ कर दिया है. ये लाइब्रेरी, Android इकोसिस्टम में सुरक्षा की पूरी जानकारी और इंस्टॉल होने वाले अपडेट की जानकारी एक ही जगह पर उपलब्ध कराती हैं. इससे, सुरक्षा के मामले में ज़्यादा पारदर्शिता मिलती है.

चाहे आप सुरक्षा के लिहाज़ से ज़रूरी, ग्राहकों के लिए ऐप्लिकेशन (जैसे, बैंकिंग, फ़िनटेक या हेल्थकेयर) या मोबाइल डिवाइस मैनेजमेंट (एमडीएम) के समाधान तैयार करते हों, ये लाइब्रेरी आपको हर कॉम्पोनेंट के हिसाब से डिवाइस की सुरक्षा की स्थिति की पुष्टि करने की सुविधा देती हैं. androidx.security.state लाइब्रेरी की मदद से, सुरक्षा पैच लेवल (एसपीएल) के मोटे तौर पर मिलने वाले डेटा के बजाय, कॉम्पोनेंट-लेवल की सुरक्षा का आकलन किया जा सकता है. साथ ही, यह भी देखा जा सकता है कि सुरक्षा से जुड़ी समस्याओं को ठीक करने के लिए, कोई अपडेट इंस्टॉल होना बाकी है या नहीं. ओईएम और ओवर-द-एयर (ओटीए) क्लाइंट डेवलपर के लिए, androidx.security.state.provider लाइब्रेरी की मदद से, अपडेट की उपलब्धता की जानकारी स्टैंडर्ड तरीके से दी जा सकती है.

सुरक्षा पैच लेवल (एसपीएल) के बारे में जानकारी

Android, Google Play के सिस्टम अपडेट जैसे मॉड्यूलर सिस्टम की मदद से, कॉम्पोनेंट के अपडेट तेज़ी से और अलग-अलग उपलब्ध कराता है. इसलिए, डिवाइस की सुरक्षा की स्थिति का सही आकलन करने के लिए, एसपीएल की एक ही प्रॉपर्टी पर निर्भर रहना अब सही तरीका नहीं है. कॉम्पोनेंट-लेवल की विज़िबिलिटी उपलब्ध कराने के लिए, Security State Libraries, तीन अलग-अलग पैच लेवल के लिए एपीआई उपलब्ध कराती हैं:

• डिवाइस एसपीएल (डीएसपीएल): डिवाइस पर फ़िलहाल इंस्टॉल और चल रहा सुरक्षा पैच का लेवल. यह जानकारी, नेटवर्क कॉल किए बिना, डिवाइस की प्रॉपर्टी और कॉन्फ़िगरेशन से क्वेरी करके हासिल की जाती है. यह जानकारी, सिस्टम के खास कॉम्पोनेंट के लिए होती है.
• पब्लिश किया गया एसपीएल (पीएसपीएल): इन कॉम्पोनेंट के लिए, Android सुरक्षा बुलेटिन में आधिकारिक तौर पर पब्लिश किया गया नया पैच लेवल.
• उपलब्ध एसपीएल (एएसपीएल): यह पैच लेवल, खास डिवाइस पर डाउनलोड और इंस्टॉल किया जा सकता है. इसकी जानकारी, उपयोगकर्ता के डिवाइस पर मौजूद अपडेट क्लाइंट के साथ इंटर-प्रोसेस कम्यूनिकेशन (आईपीसी) के ज़रिए, एसिंक्रोनस तरीके से क्वेरी करके हासिल की जाती है.

Security State Libraries, इन पैच लेवल को इन कॉम्पोनेंट के लिए ट्रैक करती हैं:

• सिस्टम: Android का मुख्य ऑपरेटिंग सिस्टम. इसे, स्टैंडर्ड/ओईएम सिस्टम के ओटीए अपडेट के ज़रिए अपडेट किया जाता है.
• सिस्टम मॉड्यूल: मॉड्यूलर ओएस सबसिस्टम. इन्हें Google Play के सिस्टम अपडेट (प्रोजेक्ट मेनलाइन) के ज़रिए, बैकग्राउंड में आसानी से अपडेट किया जाता है.
• कर्नेल: यह डिवाइस के हार्डवेयर और सॉफ़्टवेयर को जोड़ने वाली बुनियादी लेयर है. इसका आकलन, हर महीने की तारीखों के बजाय, लॉन्ग-टर्म सपोर्ट (एलटीएस) रिलीज़ वर्शन (जैसे, 5.15.159 या 6.1.91) के ज़रिए किया जाता है.

कॉम्पोनेंट-लेवल पर इन तीन अलग-अलग पैच लेवल की जानकारी उपलब्ध कराकर, डेवलपर और कंपनियां अब यह समझ सकती हैं कि कोई डिवाइस कितना सुरक्षित है. साथ ही, वे यह भी पता लगा सकती हैं कि कौनसे पैच इंस्टॉल नहीं किए गए हैं. इसके अलावा, वे सुरक्षा से जुड़ी समस्याओं को ठीक करने के लिए, पहले से ही कदम उठा सकती हैं. ऐसा करने का एक तरीका, यहां दिए गए उदाहरण में देखा जा सकता है.

डिवाइस के ऐक्सेस के लिए, डेवलपर और कंपनियां, डीएसपीएल, पीएसपीएल, और एएसपीएल को मिलाकर, कॉन्टेक्स्ट के हिसाब से सुरक्षा से जुड़े स्मार्ट फ़ैसले ले सकती हैं. इसके लिए, उन्हें डिवाइस के ऐक्सेस के लिए, सभी या किसी भी कॉम्पोनेंट को ऐक्सेस करने की अनुमति देने की ज़रूरत नहीं है. उदाहरण के लिए, बैंकिंग या एंटरप्राइज़ ऐप्लिकेशन, संवेदनशील वर्कफ़्लो शुरू करने से पहले, डिवाइस के मौजूदा सुरक्षा पैच (डीएसपीएल) की तुलना, इंस्टॉल होने वाले अपडेट (एएसपीएल) से कर सकता है. जैसे, ज़्यादा कीमत वाले पेमेंट या क्रेडेंशियल एनरोलमेंट. अगर कोई अपडेट इंस्टॉल होना बाकी है, तो डेवलपर और कंपनियां, उपयोगकर्ता से पहले अपना डिवाइस अपडेट करने के लिए कह सकती हैं. डेवलपर और कंपनियां, यह क्वेरी करके भी ज़्यादा बेहतर तरीके से कंट्रोल कर सकती हैं कि डिवाइस पर, ज़्यादा जोखिम वाली खास कमज़ोरियों (सीवीई) को ठीक किया गया है या नहीं. जैसे, टैप-टू-पे या आस-पास के डिवाइसों के साथ डेटा शेयर करने की अनुमति देने से पहले, यह पुष्टि करना कि एनएफ़सी या ब्लूटूथ से जुड़ी ज़रूरी समस्याएं ठीक कर दी गई हैं.

हाई-लेवल फ़्लो

ऐप्लिकेशन डेवलपर और एंटरप्राइज़ मैनेजमेंट के लिए

क्लाइंट ऐप्लिकेशन, androidx.security.state लाइब्रेरी का इस्तेमाल करके, कॉन्टेक्स्ट के हिसाब से जानकारी के आधार पर फ़ैसले ले सकते हैं:

• सिंक्रोनस तरीके से सुरक्षा की स्थिति की जांच (डीएसपीएल): ऐप्लिकेशन लॉन्च होने पर, ऐप्लिकेशन तुरंत सिस्टम, सिस्टम मॉड्यूल, और कर्नेल के इंस्टॉल किए गए पैच लेवल की जांच कर सकते हैं. साथ ही, पीएसपीएल से तुलना करके यह पुष्टि कर सकते हैं कि डिवाइस, किसी संगठन की ज़रूरी सुरक्षा बेसलाइन को पूरा करता है या नहीं. ऐसा, संवेदनशील कॉर्पोरेट संसाधनों या बायोमेट्रिक ऐक्सेस को अनलॉक करने से पहले किया जा सकता है.
• अपडेट के लिए प्रॉम्प्ट दिखाना (एएसपीएल): एंटरप्राइज़ ऐप्लिकेशन, एएसपीएल से क्वेरी करके यह देख सकते हैं कि सिस्टम का कोई अपडेट या Google Play का सिस्टम अपडेट, स्टेज किया गया है और इंस्टॉल होने के लिए तैयार है या नहीं. ऐसा, किसी ऐसे कर्मचारी को तुरंत ब्लॉक करने के बजाय किया जा सकता है जिसका डिवाइस, पैच के मामले में थोड़ा पीछे है. अगर ऐसा है, तो ऐप्लिकेशन, इन-ऐप्लिकेशन में उपयोगकर्ता के लिए खास निर्देश दिखा सकते हैं. इनमें, इंस्टॉल करने की प्रोसेस पूरी करने के लिए, उपयोगकर्ता को सिस्टम सेटिंग में जाने के लिए कहा जा सकता है.
• कमज़ोरी-लेवल की ऑडिटिंग (सीवीई): ज़्यादा सुरक्षा वाले इस्तेमाल के उदाहरणों के लिए, लाइब्रेरी, ओपन सोर्स वल्नरेबिलिटीज़ (ओएसवी) से डिवाइस के हिसाब से कमज़ोरी की रिपोर्ट डाउनलोड करने की सुविधा देती है. इससे, प्रोग्राम के ज़रिए यह ऑडिट किया जा सकता है कि डिवाइस पर, सीवीई से जुड़ी खास और ज़रूरी समस्याओं को ठीक किया गया है या नहीं.

ओईएम और अपडेट क्लाइंट के लिए: अपडेट की उपलब्धता को स्टैंडर्ड बनाना

androidx.security.state.provider लाइब्रेरी, अपडेट क्लाइंट के लिए, Android आईपीसी का एक स्टैंडर्ड तरीका बनाती है. इससे, अपडेट क्लाइंट, डिवाइस पर सीधे अपडेट की उपलब्धता की जानकारी दे सकते हैं. पहले, भले ही मालिकाना हक वाले ओटीए क्लाइंट, अपडेट की उपलब्धता की जानकारी देते थे, लेकिन यह जानकारी अलग-अलग जगहों पर सेव होती थी. साथ ही, तीसरे पक्ष के ऐप्लिकेशन, इस जानकारी के लिए क्वेरी नहीं कर सकते थे. अब से, ऐप्लिकेशन, एएसपीएल की जानकारी एक ही एपीआई के ज़रिए ऐक्सेस कर सकते हैं. भले ही, अपडेट, ओईएम के खास ओटीए क्लाइंट या Google Play के ज़रिए उपलब्ध कराया गया हो. हालांकि, यह ज़रूरी है कि अपडेट क्लाइंट, अपडेट की जानकारी उपलब्ध कराए.

• Google Play के सिस्टम अपडेट, GMS Android डिवाइसों पर पहले से ही एएसपीएल की जानकारी उपलब्ध कराते हैं.
• Google Over-The-Air (GOTA) को भी ऑनबोर्ड कर लिया गया है. हम दुनिया भर के ओईएम के साथ मिलकर काम कर रहे हैं, ताकि उनके ओटीए क्लाइंट को इस स्टैंडर्ड फ़्रेमवर्क पर ऑनबोर्ड किया जा सके.

बुलेटिन-लेवल का डेटा शामिल करना

Security State Libraries, एसपीएल की एक स्ट्रिंग के अलावा, यह भी बताती हैं कि उस पैच लेवल का डिवाइस पर क्या असर पड़ता है. ओपन सोर्स वल्नरेबिलिटीज़ (ओएसवी) डेटाबेस के साथ इंटिग्रेट करके, Android सुरक्षा बुलेटिन का डेटा हासिल किया जा सकता है. इससे, लाइब्रेरी पहले से ज़्यादा जानकारी हासिल कर सकती हैं. यह डेटा, लाइब्रेरी को डिवाइस की "असरदार" और ज़्यादा जानकारी वाली सुरक्षा की स्थिति की जानकारी उपलब्ध कराता है. इससे, यह सिर्फ़ यह नहीं पता चलता कि सीवीई एंट्री जैसे किसी खास खतरे को ब्लॉक किया गया है या नहीं.

इस तरीके से, कंपनियों और Android ओईएम को दो तरह से फ़ायदा मिलता है:

• कभी-कभी, हर महीने मिलने वाले सुरक्षा अपडेट में, किसी खास कॉम्पोनेंट के लिए कोई नया खतरा नहीं होता. ऐसे में, लाइब्रेरी, उस कॉम्पोनेंट के लिए सुरक्षा लेवल को अपने-आप बढ़ा देती हैं, ताकि उसकी "असरदार" सुरक्षा की स्थिति की जानकारी मिल सके. इससे यह पक्का होता है कि किसी डिवाइस को, सुरक्षा से जुड़े सभी ज्ञात खतरों से पूरी तरह सुरक्षित होने का क्रेडिट सही तरीके से मिले.
• Android 17 में एक नई सुविधा जोड़ी गई है. इसकी मदद से, ओईएम, सुरक्षा से जुड़ी उन खास समस्याओं को ठीक करने की जानकारी दे सकते हैं जिन्हें एसपीएल के ऊपर, सप्लीमेंटल पैच की एक्सएमएल फ़ाइल के ज़रिए ठीक किया गया है. इस सुविधा की मदद से, ओईएम, सुरक्षा से जुड़ी खास समस्याओं को ठीक करने के बाद, डिवाइस के अनुपालन को तुरंत साबित कर सकते हैं. इसके लिए, उन्हें एसपीएल के पूरी तरह से अपडेट होने का इंतज़ार नहीं करना पड़ता. इससे यह पक्का होता है कि पैचिंग की लगातार कोशिशों का क्रेडिट सही तरीके से मिले. Security State Libraries, ऐप्लिकेशन और सेवाओं को यह ज़्यादा जानकारी उपलब्ध कराती हैं. इससे यह पक्का होता है कि पैचिंग की लगातार कोशिशों को लागू होते ही पहचान मिल जाए.

शुरू करें

Security State Libraries, पूरे Android इकोसिस्टम को बेहतर बनाने के लिए बनाई गई हैं.

• ऐप्लिकेशन डेवलपर और एमडीएम: अपने उपयोगकर्ताओं को सुरक्षा देने और रीयल-टाइम पैच की स्थिति का आकलन करने के लिए, डिवाइस की सुरक्षा की स्थिति को समझने के लिए बनी आधिकारिक गाइड देखें.
• ओईएम और अपडेट क्लाइंट: AndroidX Security State Provider लाइब्रेरी का इस्तेमाल करके, एएसपीएल की जानकारी उपलब्ध कराने के लिए, अपने अपडेट क्लाइंट को ऑनबोर्ड करें. _सप्लीमेंटल पैच की एक्सएमएल फ़ाइलें_ पब्लिश करके, बैकपोर्ट किए गए पैच के लिए तुरंत क्रेडिट पाएं.
• रिलीज़ नोट: बदलावों की पूरी जानकारी और एपीआई सिग्नेचर के लिए, Security-State और Security-State-Provider लाइब्रेरी के लिए, AndroidX के आधिकारिक रिलीज़ नोट देखें.

आपकी राय हमारे लिए मायने रखती है! कृपया लाइब्रेरी आज़माएं और हमें अपनी राय बताएं. साथ ही, Android Issue Tracker पर किसी भी समस्या की शिकायत करें.