Apresentamos as bibliotecas de estado de segurança do AndroidX: uma visualização unificada da segurança do dispositivo

No Android, trabalhamos constantemente para fornecer aos desenvolvedores e parceiros empresariais os dados necessários para manter os dispositivos protegidos. Hoje, temos o prazer de anunciar o lançamento estável das bibliotecas AndroidX Security State versão 1.1.0 e Security State Provider versão 1.0.0, que oferecem um mecanismo centralizado projetado para trazer mais transparência à postura de segurança abrangente e às atualizações pendentes em todo o ecossistema Android.

Se você desenvolve apps voltados ao consumidor essenciais para a segurança (como bancos, fintechs ou saúde) ou soluções de gerenciamento de dispositivos móveis (MDM, na sigla em inglês), essas bibliotecas permitem verificar programaticamente o estado de segurança do dispositivo por componente. Em vez de depender de um nível de patch de segurança (SPL, na sigla em inglês) monolítico e grosseiro, você pode avaliar a proteção real no nível do componente e se as correções estão ativamente pendentes pela biblioteca androidx.security.state. Para OEMs e desenvolvedores de clientes Over-The-Air (OTA), a biblioteca complementar androidx.security.state.provider permite expor a disponibilidade de atualizações por mecanismos padronizados.

Entender os níveis do patch de segurança (SPLs)

Como o Android evoluiu para oferecer atualizações de componentes rápidas e independentes por sistemas modulares, como as atualizações do sistema do Google Play, confiar em uma única propriedade de build do SPL não é mais a melhor maneira de determinar a verdadeira postura de segurança de um dispositivo. Para fornecer visibilidade no nível do componente, as bibliotecas de estado de segurança oferecem APIs para três níveis de patch distintos:

• SPL do dispositivo (DSPL): o nível do patch de segurança instalado e em execução no dispositivo para componentes específicos do sistema, consultado nas propriedades e configurações do dispositivo sem chamadas de rede.
• SPL publicado (PSPL, na sigla em inglês): o nível de patch mais recente publicado oficialmente no Boletim de segurança do Android para esses componentes.
• SPL disponível (ASPL, na sigla em inglês) : o nível de patch pronto para ser baixado e instalado no dispositivo específico, consultado de forma assíncrona pela comunicação entre processos (IPC, na sigla em inglês) com clientes de atualização no dispositivo.

As bibliotecas de estado de segurança rastreiam esses níveis de patch nos seguintes componentes:

• Sistema : o sistema operacional Android principal, atualizado por atualizações OTA padrão/OEM.
• Módulos do sistema : subsistemas modulares do SO atualizados de maneira integrada em segundo plano pelas atualizações do sistema do Google Play (Project Mainline).
• Kernel : a camada fundamental que conecta o hardware e o software do dispositivo, avaliada por versões de lançamento de suporte de longo prazo (LTS, na sigla em inglês), como 5.15.159 ou 6.1.91, em vez de datas mensais do calendário.

Ao exibir esses três níveis de patch distintos no nível do componente, os desenvolvedores e as empresas agora podem entender exatamente o quão seguro um dispositivo é, identificar patches ausentes e tomar medidas de correção proativas. Uma maneira de fazer isso pode ser vista no exemplo abaixo.

Em vez de adotar uma abordagem de acesso ao dispositivo tudo ou nada, os desenvolvedores e as empresas podem combinar DSPL, PSPL e ASPL para tomar decisões de segurança inteligentes e contextuais. Por exemplo, um app bancário ou empresarial pode comparar o patch de segurança atual de um dispositivo (DSPL) com as atualizações pendentes (ASPL) antes de iniciar fluxos de trabalho confidenciais, como pagamentos de alto valor ou registro de credenciais. Se uma atualização estiver aguardando a instalação, os desenvolvedores e as empresas poderão exigir que o usuário atualize o dispositivo primeiro. Para um controle ainda mais preciso, os desenvolvedores e as empresas podem consultar se vulnerabilidades específicas de alto risco (CVEs) foram corrigidas no dispositivo, como verificar se as correções críticas de NFC ou Bluetooth estão em vigor antes de autorizar o pagamento por aproximação ou o compartilhamento de dados pessoais de proximidade.

Fluxo de alto nível

Para desenvolvedores de apps e gerenciamento empresarial

Os aplicativos cliente podem usar a biblioteca androidx.security.state para tomar decisões informadas e contextuais:

• Verificações de postura síncronas (DSPL): os apps podem inspecionar imediatamente os níveis de patch instalados do sistema, dos módulos do sistema e do kernel na inicialização do app e comparar com o PSPL para verificar se o dispositivo atende à linha de base de segurança exigida de uma organização antes de desbloquear recursos corporativos confidenciais ou acesso biométrico.
• Solicitação de atualização pendente (ASPL): em vez de bloquear imediatamente um funcionário cujo dispositivo está um pouco atrasado nos patches, os apps empresariais podem consultar o ASPL para verificar se uma atualização do sistema ou uma atualização do sistema do Google Play está preparada e pronta para instalação. Se for o caso, os apps poderão mostrar orientações personalizadas no app direcionando o usuário às configurações do sistema para concluir a instalação.
• Auditoria de nível de vulnerabilidade (CVEs): para casos de uso de alta garantia, a biblioteca oferece a capacidade de baixar relatórios de vulnerabilidade específicos do dispositivo de vulnerabilidades de código aberto (OSV, na sigla em inglês) para auditar programaticamente se CVEs específicas e críticas foram resolvidas no dispositivo.

Para OEMs e clientes de atualização: padronização da disponibilidade de atualizações

A biblioteca complementar androidx.security.state.provider estabelece um mecanismo IPC padronizado do Android para que os clientes de atualização informem a disponibilidade de atualizações diretamente no dispositivo. Historicamente, mesmo que os clientes OTA proprietários tenham disponibilizado a disponibilidade de atualizações, essas informações foram isoladas e não podem ser consultadas por aplicativos de terceiros. No futuro, os apps poderão acessar os detalhes do ASPL por uma única API unificada, independentemente de a atualização ser entregue por um cliente OTA dedicado do OEM ou pelo Google Play, desde que seja fornecida pelo cliente de atualização.

• As atualizações do sistema do Google Play já expõem o ASPL em dispositivos Android GMS.
• O Google Over-The-Air (GOTA) também foi integrado, e estamos trabalhando com OEMs em todo o mundo para integrar os clientes OTA deles a esse framework padronizado.

Incorporar dados no nível do boletim

Além de uma única string SPL, as bibliotecas de estado de segurança oferecem clareza sobre o que esse nível de patch realmente significa para o dispositivo. Ao integrar com o banco de dados de vulnerabilidades de código aberto (OSV) para receber dados do Boletim de segurança do Android, as bibliotecas podem analisar mais profundamente do que nunca. Em vez de apenas perguntar se uma ameaça específica, como uma entrada de CVE, está bloqueada, esses dados também permitem que as bibliotecas forneçam o estado de segurança "eficaz" e granular do dispositivo.

Confira duas maneiras como essa abordagem beneficia empresas e OEMs do Android:

• Às vezes, uma atualização de segurança mensal não contém novas ameaças para um componente específico. Nesse caso, as bibliotecas incrementam automaticamente o nível de segurança desse componente para refletir o estado de segurança "eficaz". Isso garante que um dispositivo seja creditado com precisão por estar totalmente protegido contra todas as ameaças de segurança conhecidas.
• Um novo recurso introduzido no Android 17 permite que os OEMs declarem correções de segurança específicas que foram aplicadas acima do SPL por um arquivo XML de patches suplementares. Esse recurso permite que os OEMs que fazem backport de correções de segurança específicas comprovem imediatamente a conformidade do dispositivo sem precisar esperar por um aumento completo do SPL monolítico, garantindo que os esforços contínuos de aplicação de patches sejam devidamente creditados. As bibliotecas de estado de segurança exibem essas informações granulares para apps e serviços, garantindo que os esforços contínuos de aplicação de patches sejam reconhecidos no momento em que são implementados.

Começar

As bibliotecas de estado de segurança são criadas para capacitar todo o ecossistema Android.

• Desenvolvedores de apps e MDMs: para começar a proteger seus usuários e avaliar a postura de patch em tempo real, consulte o Guia de entendimento do estado de segurança do dispositivo.
• OEMs e clientes de atualização: integre seus clientes de atualização para expor o ASPL usando a biblioteca AndroidX Security State Provider. Reivindique o crédito imediato para patches de backport publicando XMLs de patches suplementares.
• Notas da versão: confira as notas da versão oficiais do AndroidX para as bibliotecas Security-State e Security-State-Provider para ver registros de alterações e assinaturas de API completos.

Seu feedback é importante para nós Teste as bibliotecas e envie sua opinião ou relate problemas no Issue Tracker público do Android.