Представляем библиотеки AndroidX Security State: единое представление о безопасности устройства

Мы постоянно работаем над тем, чтобы предоставлять разработчикам и корпоративным партнерам данные, необходимые для защиты устройств. Сегодня мы рады объявить о стабильном выпуске библиотек AndroidX Security State версии 1.1.0 и Security State Providerверсии 1.0.0. Они предоставляют централизованный механизм, который позволяет сделать более прозрачными общую ситуацию с безопасностью и ожидающие обновления в экосистеме Android.

Независимо от того, разрабатываете ли вы приложения, критически важные для безопасности и предназначенные для потребителей (например, в сфере банковского дела, финансовых технологий или здравоохранения), или решения для управления мобильными устройствами (MDM), эти библиотеки позволяют программно проверять состояние безопасности устройства по компонентам. Вместо того чтобы полагаться на общий уровень исправления системы безопасности, вы можете оценить реальную защиту на уровне компонентов и узнать, ожидаются ли исправления, с помощью библиотеки androidx.security.state. Для производителей оригинального оборудования и разработчиков клиентов, получающих обновления по беспроводной сети, доступна сопутствующая библиотека androidx.security.state.provider. Она позволяет показывать доступность обновлений с помощью стандартных механизмов.

Общие сведения об уровнях исправления системы безопасности

Android развивается, и теперь обновления компонентов могут быстро и независимо устанавливаться через модульные системы, такие как обновление системы через Google Play. Поэтому полагаться на одно свойство сборки SPL больше не рекомендуется. Чтобы обеспечить видимость на уровне компонентов, библиотеки Security State предоставляют API для трех разных уровней исправлений:

• Уровень исправления системы безопасности устройства (DSPL). Уровень исправления системы безопасности, который сейчас установлен и используется на устройстве для определенных системных компонентов. Запрашивается из свойств и конфигураций устройства без сетевых вызовов.
• Опубликованный уровень исправления системы безопасности (PSPL). Последний уровень исправления, официально опубликованный в бюллетене по безопасности Android для этих компонентов.
• Доступный уровень обновления системы безопасности (ASPL). Уровень обновления, готовый к скачиванию и установке на определенном устройстве. Запрашивается асинхронно через межпроцессное взаимодействие (IPC) с клиентами обновления на устройстве.

Библиотеки Security State отслеживают уровни исправлений для следующих компонентов:

• Система.  Основная операционная система Android, которая обновляется по беспроводной сети стандартным способом или через OEM.
• Системные модули. Модульные подсистемы ОС, которые незаметно обновляются в фоновом режиме через Google Play (проект Mainline).
• Ядро. Базовый уровень, соединяющий аппаратное и программное обеспечение устройства. Оценивается по версиям выпусков с долгосрочной поддержкой (LTS), например 5.15.159 или 6.1.91, а не по календарным датам.

Благодаря этим трем уровням исправлений разработчики и компании могут точно определить, насколько защищено устройство, выявить отсутствующие исправления и принять упреждающие меры. Один из способов сделать это показан в примере ниже.

Вместо того чтобы использовать подход "все или ничего" к доступу к устройствам, разработчики и предприятия могут комбинировать DSPL, PSPL и ASPL для принятия разумных контекстных решений по безопасности. Например, банковское или корпоративное приложение может сравнить текущий уровень исправления системы безопасности устройства (DSPL) с ожидающими обновлениями (ASPL), прежде чем инициировать конфиденциальные рабочие процессы, такие как дорогостоящие платежи или регистрация учетных данных. Если доступно обновление, разработчики и компании могут потребовать от пользователя сначала обновить устройство. Для более точного контроля разработчики и компании могут запрашивать информацию о том, устранены ли на устройстве определенные уязвимости с высоким уровнем риска (CVE). Например, перед авторизацией бесконтактной оплаты или передачи данных поблизости можно проверить, установлены ли критические исправления для NFC или Bluetooth.

Общие принципы

Для разработчиков приложений и корпоративного управления

Клиентские приложения могут использовать библиотеку androidx.security.state, чтобы принимать обоснованные решения с учетом контекста.

• Синхронные проверки состояния (DSPL). При запуске приложения могут сразу же проверять уровни исправлений системы, системных модулей и ядра и сравнивать их с PSPL, чтобы убедиться, что устройство соответствует базовым требованиям безопасности организации, прежде чем разблокировать доступ к конфиденциальным корпоративным ресурсам или биометрическим данным.
• Запрос на установку ожидающего обновления (ASPL). Вместо того чтобы сразу блокировать сотрудника, на устройстве которого не установлены последние исправления, корпоративные приложения могут запросить ASPL, чтобы проверить, есть ли ожидающее обновление системы или обновление системы через Google Play, которое готово к установке. В этом случае приложения могут показывать пользователю подсказки, которые помогут ему перейти в системные настройки и завершить установку.
• Проверка на уровне уязвимостей (CVE). Для сценариев с высоким уровнем надежности библиотека позволяет скачивать отчеты об уязвимостях для конкретных устройств из базы данных Open Source Vulnerabilities (OSV). Это позволяет программно проверять, устранены ли на устройстве определенные критические уязвимости.

Для OEM-производителей и клиентов, получающих обновления: стандартизация доступности обновлений

Сопутствующая библиотека androidx.security.state.provider устанавливает стандартизированный механизм Android IPC, позволяющий клиентам обновлений сообщать о доступности обновлений непосредственно на устройстве. Раньше, даже если проприетарные клиенты OTA показывали доступность обновления, эта информация была изолирована и не могла быть запрошена сторонними приложениями. В дальнейшем приложения смогут получать доступ к сведениям об ASPL через единый унифицированный API, независимо от того, доставляется ли обновление через выделенный OTA-клиент OEM или Google Play, если оно предоставляется клиентом обновления.

• Обновления системы через Google Play уже содержат ASPL для устройств Android с GMS.
• Мы также добавили поддержку Google Over-the-Air (GOTA) и работаем с производителями оригинального оборудования по всему миру, чтобы они могли использовать эту стандартизированную платформу для своих клиентов.

Добавление данных на уровне бюллетеня

Помимо строки с уровнем исправления системы безопасности, библиотеки Security State предоставляют информацию о том, что этот уровень означает для устройства. Благодаря интеграции с базой данных Open Source Vulnerabilities (OSV) для получения данных из бюллетеня по безопасности Android библиотеки могут выполнять более глубокий анализ, чем когда-либо прежде. Библиотеки не просто проверяют, заблокирована ли определенная угроза, например запись CVE, но и предоставляют подробные сведения о фактическом состоянии безопасности устройства.

Вот два преимущества такого подхода для компаний и производителей устройств Android:

• Иногда ежемесячное обновление системы безопасности не содержит новых угроз для определенного компонента. В этом случае библиотеки автоматически повышают уровень безопасности для этого компонента, чтобы отразить его "эффективное" состояние безопасности. Это позволяет точно определить, что устройство полностью защищено от всех известных угроз безопасности.
• В Android 17 появилась новая функция, которая позволяет OEM-производителям указывать в XML-файле дополнительных исправлений, какие исправления безопасности были применены сверх SPL. Эта функция позволяет производителям оригинального оборудования, которые переносят определенные исправления безопасности, сразу подтверждать соответствие устройства требованиям, не дожидаясь полного обновления SPL. Таким образом, усилия по постоянному исправлению ошибок будут должным образом учтены. Библиотеки Security State передают эту подробную информацию приложениям и сервисам, чтобы они сразу узнавали о выходе исправлений.

Начало работы

Библиотеки состояния безопасности созданы для того, чтобы расширить возможности всей экосистемы Android.

• Разработчики приложений и поставщики MDM-решений. Чтобы начать защищать пользователей и оценивать состояние исправлений в реальном времени, изучите официальное руководство Как узнать статус безопасности устройства.
• Производители оригинального оборудования и клиенты обновления. Интегрируйте клиенты обновления, чтобы показывать ASPL с помощью библиотеки AndroidX Security State Provider. Чтобы сразу получить баллы за бэкпортированные исправления, опубликуйте XML-файлы дополнительных исправлений.
• Примечания к выпуску. Ознакомьтесь с официальными примечаниями к выпуску AndroidX для библиотек Security-State и Security-State-Provider, чтобы узнать о полном списке изменений и сигнатурах API.

Ваше мнение очень важно для нас, Попробуйте библиотеки и поделитесь своим мнением или сообщите о проблемах в общедоступной системе отслеживания ошибок Android.