隆重推出 AndroidX Security State 库：统一查看设备安全状态

在 Android，我们一直致力于为开发者和企业合作伙伴提供所需的数据，以确保设备受到保护。今天，我们很高兴地宣布稳定版 AndroidX Security State 1.1.0 版 和 Security State Provider 1.0.0 版 库正式发布。这两个库提供了一个集中式机制，旨在进一步提高 Android 生态系统中全面安全状况和待处理更新的透明度。

无论您是开发对安全性要求很高的面向消费者的应用（例如银行、金融科技或医疗保健应用），还是移动设备管理 (MDM) 解决方案，这些库都能让您以编程方式验证每个组件的设备安全状态。您无需依赖粗略的整体安全补丁级别 (SPL)，而是可以通过 androidx.security.state 库评估真正的组件级保护，以及补救措施是否正在积极处理中。对于原始设备制造商 (OEM) 和无线下载 (OTA) 客户端开发者，配套的 androidx.security.state.provider 库允许您通过标准化机制公开更新可用性。

了解安全补丁级别 (SPL)

随着 Android 的不断发展，通过 Google Play 系统更新等模块化系统提供快速、独立的组件更新，依赖单个 SPL build 属性已不再是确定设备真实安全状况的最佳方式。为了提供组件级可见性，Security State 库为三个不同的补丁级别提供了 API：

• 设备 SPL (DSPL)： 当前安装在设备上并针对特定系统组件运行的安全补丁级别，无需网络调用即可从设备属性和配置中查询。
• 已发布 SPL (PSPL)： _Android 安全公告_中针对这些组件正式发布的最新补丁级别。
• 可用 SPL (ASPL)： 准备下载并安装在特定设备上的补丁级别，通过与设备上的更新客户端进行进程间通信 (IPC) 异步查询。

Security State 库会跟踪以下组件的这些补丁级别：

• 系统： 核心 Android 操作系统，通过标准/OEM 系统 OTA 更新进行更新。
• 系统模块： 模块化操作系统子系统，通过 Google Play 系统更新 (Mainline 计划) 在后台无缝更新。
• 内核： 连接设备硬件和软件的基础层，通过长期支持 (LTS) 发布版本（例如 5.15.159 或 6.1.91）而非每月日历日期进行评估。

通过在组件级别显示这三个不同的补丁级别，开发者和企业现在可以准确了解设备的安全性、识别缺失的补丁，并采取积极的补救措施。您可以在下面的示例中了解其中一种方法。

开发者和企业可以结合使用 DSPL、PSPL 和 ASPL，做出明智的上下文相关安全决策，而不是对设备访问采取全有或全无的方法。例如，银行或企业应用可以在启动敏感工作流（例如高价值付款或凭据注册）之前，将设备的当前安全补丁 (DSPL) 与待处理更新 (ASPL) 进行比较。如果有待安装的更新，开发者和企业可以要求用户先更新设备。为了实现更精细的控制，开发者和企业可以查询设备上是否已修补特定的高风险漏洞 (CVE)，例如在授权点击支付或近距离数据共享之前，验证关键 NFC 或蓝牙修复程序是否已到位。

高级别流程

面向应用开发者和企业管理

客户端应用可以使用 androidx.security.state 库做出明智的上下文相关决策：

• 同步状况检查 (DSPL)：应用可以在应用启动时立即检查系统、系统模块和内核的已安装补丁级别，并与 PSPL 进行比较，以验证设备是否符合组织所需的安全基准，然后再解锁敏感的企业资源或生物识别访问权限。
• 待处理更新提示 (ASPL)：企业应用可以查询 ASPL，以检查是否有待处理的系统更新或 Google Play 系统更新已暂存并准备好安装，而不是立即屏蔽设备补丁略有滞后的员工。如果有，应用可以显示定制的应用内指南，引导用户前往“系统设置”完成安装。
• 漏洞级别审核 (CVE)：对于高保证用例，该库能够从 Open Source Vulnerabilities (OSV) 下载特定于设备的漏洞报告，以编程方式审核设备上是否已解决特定的关键 CVE。

面向 OEM 和更新客户端：标准化更新可用性

配套的 androidx.security.state.provider 库建立了一个标准化的 Android IPC 机制，供更新客户端直接在设备上报告更新可用性。从历史上看，即使专有的 OTA 客户端显示了更新可用性，此信息也是孤立的，第三方应用无法查询。今后，无论更新是通过 OEM 的专用 OTA 客户端还是 Google Play 提供的，只要是由更新客户端提供的，应用都可以通过单个统一的 API 访问 ASPL 详细信息。

• Google Play 系统更新已在 GMS Android 设备上公开 ASPL。
• Google 无线下载 (GOTA) 也已加入，我们正在与全球的原始设备制造商(OEM) 合作，将其 OTA 客户端加入此标准化框架。

纳入公告级别的数据

除了单个 SPL 字符串之外，Security State 库还清楚地说明了该补丁级别对设备的实际意义。通过与 Open Source Vulnerabilities (OSV) 数据库集成以获取 Android 安全公告数据，这些库可以比以往更深入地了解情况。除了询问是否屏蔽了特定威胁（例如 CVE 条目）之外，这些数据还允许库提供设备的“有效”和精细的安全状态。

以下是这种方法对企业和 Android OEM 的两个好处：

• 有时，每月安全更新不包含特定组件的任何新威胁。在这种情况下，库会自动增加该组件的安全等级，以反映其“有效”安全状态。这可确保设备因完全受到保护而免受所有已知安全威胁而获得准确的认可。
• Android 17 中引入的一项新功能允许 OEM 通过 Supplemental Patches XML 文件声明已在 SPL 之上应用了特定的安全修复程序。借助此功能，向后移植特定安全修复程序的 OEM 可以立即证明设备合规性，而无需等待完整的整体 SPL 提升，从而确保持续的补丁工作得到适当的认可。Security State 库会将此精细信息显示给应用和服务，确保持续的补丁工作在实施后立即得到认可。

开始使用

Security State 库旨在为整个 Android 生态系统提供支持。

• 应用开发者和 MDM： 如需开始保护您的用户并评估实时补丁状况，请参阅官方的 了解设备安全状态指南。
• OEM 和更新客户端： 将您的更新客户端加入，以使用 AndroidX Security State Provider 库公开 ASPL。通过发布 Supplemental Patches XML，立即获得向后移植补丁的认可。
• 版本说明： 如需完整的变更日志和 API 签名，请查看 Security-State 和 Security-State-Provider 库的官方 AndroidX 版本说明。

您的反馈对我们非常重要！请试用这些库，并在公开的 Android 问题跟踪器上分享您的想法或报告任何问题。