Ti presentiamo le librerie AndroidX Security State: una visualizzazione unificata della sicurezza dei dispositivi

Noi di Android lavoriamo costantemente per fornire agli sviluppatori e ai partner aziendali i dati di cui hanno bisogno per proteggere i dispositivi. Oggi siamo felici di annunciare il rilascio stabile delle librerie AndroidX Security State versione 1.1.0 e Security State Provider versione 1.0.0, che forniscono un meccanismo centralizzato progettato per aumentare ulteriormente la trasparenza della security posture completa e degli aggiornamenti in attesa nell'ecosistema Android.

Che tu sviluppi app rivolte ai consumatori e critiche per la sicurezza (come banking, fintech o sanità) o soluzioni di gestione dei dispositivi mobili (MDM), queste librerie ti consentono di verificare in modo programmatico lo stato di sicurezza del dispositivo per componente. Anziché fare affidamento su un livello patch di sicurezza (SPL) monolitico e generico, puoi valutare la vera protezione a livello di componente e se le correzioni sono in attesa attiva tramite la libreria androidx.security.state. Per gli OEM e gli sviluppatori di client over-the-air (OTA), la libreria companion androidx.security.state.provider consente di esporre la disponibilità degli aggiornamenti tramite meccanismi standardizzati.

Informazioni sui livelli patch di sicurezza (SPL)

Con l'evoluzione di Android per fornire aggiornamenti rapidi e indipendenti dei componenti tramite sistemi modulari come gli aggiornamenti di sistema Google Play, l'affidamento a una singola proprietà di build SPL non è più il modo migliore per determinare la vera security posture di un dispositivo. Per fornire visibilità a livello di componente, le librerie Security State forniscono API per tre livelli di patch distinti:

• Livello patch di sicurezza del dispositivo (DSPL): il livello patch di sicurezza attualmente installato e in esecuzione sul dispositivo per componenti di sistema specifici, interrogato dalle proprietà e dalle configurazioni del dispositivo senza chiamate di rete.
• Livello patch di sicurezza pubblicato (PSPL): il livello patch più recente pubblicato ufficialmente nel Bollettino sulla sicurezza di Android per questi componenti.
• Livello patch di sicurezza disponibile (ASPL): il livello patch pronto per essere scaricato e installato sul dispositivo specifico, sottoposto a query in modo asincrono tramite comunicazione tra processi (IPC) con i client di aggiornamento on-device.

Le librerie Security State monitorano questi livelli di patch nei seguenti componenti:

• Sistema : il sistema operativo Android di base, aggiornato tramite aggiornamenti OTA di sistema standard/OEM.
• Moduli di sistema : sottosistemi del sistema operativo modulari aggiornati senza problemi in background tramite gli aggiornamenti di sistema Google Play (progetto Mainline).
• Kernel : il livello di base che collega l'hardware e il software del dispositivo, valutato tramite le versioni di release di assistenza a lungo termine (LTS) (ad esempio 5.15.159 o 6.1.91) anziché le date di calendario mensili.

Mostrando questi tre distinti livelli di patch a livello di componente, gli sviluppatori e le aziende possono ora capire esattamente quanto è sicuro un dispositivo, identificare le patch mancanti e adottare misure di correzione proattive. Un modo per farlo è mostrato nell'esempio seguente.

Anziché adottare un approccio "tutto o niente" all'accesso ai dispositivi, gli sviluppatori e le aziende possono combinare DSPL, PSPL e ASPL per prendere decisioni di sicurezza intelligenti e contestuali. Ad esempio, un'app bancaria o aziendale può confrontare la patch di sicurezza attuale di un dispositivo (DSPL) con gli aggiornamenti in attesa (ASPL) prima di avviare workflow sensibili come pagamenti di valore elevato o registrazione delle credenziali. Se è in attesa di essere installato un aggiornamento, gli sviluppatori e le aziende possono richiedere all'utente di aggiornare prima il dispositivo. Per un controllo ancora più preciso, gli sviluppatori e le aziende possono verificare se sul dispositivo sono state applicate patch per vulnerabilità specifiche ad alto rischio (CVE), ad esempio verificando che siano presenti correzioni critiche per NFC o Bluetooth prima di autorizzare il pagamento contactless o la condivisione di dati di prossimità.

Flusso generale

Per gli sviluppatori di app e la gestione aziendale

Le applicazioni client possono utilizzare la libreria androidx.security.state per prendere decisioni consapevoli e sensibili al contesto:

• Controlli di postura sincroni (DSPL): le app possono ispezionare immediatamente i livelli di patch installati del sistema, dei moduli di sistema e del kernel all'avvio dell'app e confrontarli con PSPL per verificare se il dispositivo soddisfa la base di riferimento di sicurezza richiesta da un'organizzazione prima di sbloccare risorse aziendali sensibili o l'accesso biometrico.
• Prompt di aggiornamento in attesa (ASPL): anziché bloccare immediatamente un dipendente il cui dispositivo è leggermente in ritardo con le patch, le app aziendali possono eseguire una query su ASPL per verificare se è presente un aggiornamento di sistema o un aggiornamento di sistema Google Play in attesa e pronto per l'installazione. In questo caso, le app possono mostrare indicazioni in-app personalizzate che indirizzano l'utente alle Impostazioni di sistema per completare l'installazione.
• Controllo a livello di vulnerabilità (CVE): per i casi d'uso ad alta affidabilità, la libreria offre la possibilità di scaricare report sulle vulnerabilità specifici del dispositivo da Open Source Vulnerabilities (OSV) per controllare in modo programmatico se CVE specifiche e critiche sono state risolte sul dispositivo.

Per gli OEM e i client di aggiornamento: standardizzazione della disponibilità degli aggiornamenti

La libreria complementare androidx.security.state.provider stabilisce un meccanismo IPC Android standardizzato per i client di aggiornamento per segnalare la disponibilità degli aggiornamenti direttamente sul dispositivo. In passato, anche se i client OTA proprietari mostravano la disponibilità degli aggiornamenti, queste informazioni erano isolate e non potevano essere interrogate da applicazioni di terze parti. In futuro, le app potranno accedere ai dettagli dell'ASPL tramite un'unica API unificata, indipendentemente dal fatto che l'aggiornamento venga fornito tramite il client OTA dedicato di un OEM o Google Play, purché venga fornito dal client di aggiornamento.

• Gli aggiornamenti di sistema Google Play espongono già l'ASPL sui dispositivi Android con GMS.
• Anche Google Over-The-Air (GOTA) è stato integrato e stiamo collaborando con gli OEM di tutto il mondo per integrare i loro client OTA in questo framework standardizzato.

Integrazione dei dati a livello di bollettino

Oltre a una singola stringa SPL, le librerie Security State forniscono informazioni chiare su ciò che il livello patch significa effettivamente per il dispositivo. Grazie all'integrazione con il database Open Source Vulnerabilities (OSV) per ottenere i dati del Bollettino sulla sicurezza di Android, le librerie possono eseguire un'analisi più approfondita che mai. Oltre a chiedere se una minaccia specifica, come una voce CVE, è bloccata, questi dati consentono alle librerie di fornire lo stato di sicurezza "effettivo" e granulare del dispositivo.

Ecco due modi in cui questo approccio avvantaggia le aziende e gli OEM Android:

• A volte, un aggiornamento della sicurezza mensile non contiene nuove minacce per un componente specifico. In questo caso, le librerie incrementano automaticamente il livello di sicurezza per quel componente in modo da riflettere il suo stato di sicurezza "effettivo". In questo modo, un dispositivo viene accreditato con precisione come completamente protetto da tutte le minacce alla sicurezza note.
• Una nuova funzionalità introdotta in Android 17 consente agli OEM di dichiarare correzioni di sicurezza specifiche applicate oltre l'SPL tramite un file XML di patch supplementari. Questa funzionalità consente agli OEM che eseguono il backport di correzioni di sicurezza specifiche di dimostrare immediatamente la conformità del dispositivo senza dover attendere un aggiornamento SPL monolitico completo, garantendo che gli sforzi di applicazione continua delle patch vengano adeguatamente riconosciuti. Le librerie dello stato di sicurezza mostrano queste informazioni granulari ad app e servizi, garantendo che gli sforzi di applicazione continua delle patch vengano riconosciuti nel momento in cui vengono implementati.

Inizia

Le librerie Security State sono progettate per potenziare l'intero ecosistema Android.

• Sviluppatori di app e MDM: per iniziare a proteggere i tuoi utenti e valutare la postura delle patch in tempo reale, consulta la guida ufficiale Informazioni sullo stato di sicurezza del dispositivo.
• OEM e client di aggiornamento: esegui l'onboarding dei client di aggiornamento per esporre l'ASPL utilizzando la libreria AndroidX Security State Provider. Richiedi un credito immediato per le patch di backport pubblicando XML di patch supplementari.
• Note di rilascio:consulta le note di rilascio ufficiali di AndroidX per le librerie Security-State e Security-State-Provider per i log delle modifiche completi e le firme API.

Il tuo feedback è importante per noi. Prova le librerie e facci sapere cosa ne pensi o segnala eventuali problemi nell'Issue Tracker di Android pubblico.