Представляем библиотеки состояния безопасности AndroidX: единое представление безопасности устройства

Мы постоянно работаем над тем, чтобы предоставлять разработчикам и корпоративным партнерам данные, необходимые для защиты устройств. Сегодня мы рады объявить о стабильном выпуске библиотек AndroidX Security State версии 1.1.0 и Security State Providerверсии 1.0.0. Они предоставляют централизованный механизм, который позволяет сделать более прозрачными общую ситуацию с безопасностью и ожидающие обновления в экосистеме Android.

Независимо от того, разрабатываете ли вы приложения, критически важные для безопасности и предназначенные для потребителей (например, в сфере банковского дела, финансовых технологий или здравоохранения), или решения для управления мобильными устройствами (MDM), эти библиотеки позволяют программно проверять состояние безопасности устройства по компонентам. Вместо того чтобы полагаться на общий уровень исправления системы безопасности, вы можете оценить реальную защиту на уровне компонентов и узнать, ожидаются ли исправления, с помощью библиотеки androidx.security.state. Для OEM-производителей и разработчиков клиентов для беспроводных обновлений (OTA) библиотека androidx.security.state.provider позволяет предоставлять информацию о доступности обновлений с помощью стандартизированных механизмов.

Общие сведения об уровнях исправления системы безопасности

Поскольку Android развивается и теперь позволяет быстро и независимо обновлять компоненты с помощью модульных систем, таких как обновления системы через Google Play, полагаться на одно свойство сборки SPL больше нецелесообразно. Чтобы обеспечить видимость на уровне компонентов, библиотеки Security State предоставляют API для трех разных уровней исправлений:

• Уровень исправлений системы безопасности устройства (DSPL). Уровень исправлений системы безопасности, установленный и работающий на устройстве для определенных системных компонентов. Запрашивается из свойств и конфигураций устройства без сетевых вызовов.
• Опубликованный уровень исправления системы безопасности (PSPL). Последний уровень исправления, официально опубликованный в бюллетене по безопасности Android для этих компонентов.
• Доступный уровень исправлений безопасности (ASPL). Уровень исправлений, готовый к скачиванию и установке на определенном устройстве. Запрос выполняется асинхронно с помощью межпроцессного взаимодействия (IPC) с клиентами обновлений на устройстве.

Библиотеки Security State отслеживают уровни исправлений в следующих компонентах:

• Система.  Основная операционная система Android, которая обновляется по беспроводной сети стандартным способом или через OEM.
• Системные модули. Модульные подсистемы ОС, которые обновляются в фоновом режиме через обновления системы через Google Play (проект Mainline).
• Ядро. Базовый уровень, соединяющий аппаратное и программное обеспечение устройства. Оценивается по версиям с долгосрочной поддержкой (LTS), например 5.15.159 или 6.1.91, а не по ежемесячным датам.

Благодаря тому, что эти три уровня исправлений теперь доступны на уровне компонентов, разработчики и компании могут точно определять, насколько защищено устройство, выявлять отсутствующие исправления и принимать меры по устранению проблем. Один из способов сделать это показан в примере ниже.

Вместо того чтобы использовать подход "все или ничего" к доступу к устройствам, разработчики и предприятия могут комбинировать DSPL, PSPL и ASPL для принятия разумных контекстных решений по безопасности. Например, банковское или корпоративное приложение может сравнить текущий уровень исправления системы безопасности устройства (DSPL) с ожидающими обновлениями (ASPL), прежде чем инициировать конфиденциальные рабочие процессы, такие как дорогостоящие платежи или регистрация учетных данных. Если доступно обновление, разработчики и компании могут потребовать от пользователя сначала обновить устройство. Для более точного контроля разработчики и компании могут проверять, устранены ли на устройстве определенные уязвимости высокого риска (CVE). Например, можно убедиться, что установлены критические исправления для NFC или Bluetooth, прежде чем разрешить бесконтактную оплату или передачу данных поблизости.

Общие принципы

Для разработчиков приложений и корпоративного управления

Клиентские приложения могут использовать библиотеку androidx.security.state, чтобы принимать обоснованные решения с учетом контекста:

• Синхронные проверки состояния (DSPL). При запуске приложения оно может сразу проверить уровни установленных исправлений системы, системных модулей и ядра и сравнить их с PSPL, чтобы определить, соответствует ли устройство базовым требованиям безопасности организации, прежде чем разблокировать конфиденциальные корпоративные ресурсы или биометрический доступ.
• Запрос на установку ожидающего обновления (ASPL). Вместо того чтобы сразу блокировать сотрудника, на устройстве которого не установлены последние исправления, корпоративные приложения могут запросить ASPL, чтобы проверить, есть ли ожидающее обновление системы или обновление системы через Google Play, которое готово к установке. В таком случае приложения могут показывать пользователю подсказки, направляющие его в системные настройки для завершения установки.
• Аудит уровня уязвимости (CVE). Для случаев использования с высокой степенью надежности библиотека позволяет скачивать отчеты об уязвимостях для конкретных устройств из Open Source Vulnerabilities (OSV), чтобы программно проверять, устранены ли на устройстве определенные критические CVE.

Для OEM-производителей и клиентов, получающих обновления: стандартизация доступности обновлений

Сопутствующая библиотека androidx.security.state.provider устанавливает стандартизированный механизм Android IPC, позволяющий клиентам обновлений сообщать о доступности обновлений непосредственно на устройстве. Раньше, даже если проприетарные клиенты OTA показывали доступность обновления, эта информация была изолирована и не могла быть запрошена сторонними приложениями. Теперь приложения могут получать информацию о ASPL через единый API независимо от того, как было доставлено обновление: через специальный OTA-клиент производителя или Google Play. Главное, чтобы эта информация была предоставлена клиентом обновления.

• Обновления системы через Google Play уже предоставляют ASPL на устройствах Android с сервисами Google Play.
• Мы также добавили Google Over-The-Air (GOTA) и работаем с производителями оригинального оборудования по всему миру, чтобы перевести их клиентов OTA на этот стандартизированный фреймворк.

Как использовать данные на уровне бюллетеня

Помимо строки SPL, библиотеки Security State позволяют понять, что именно означает тот или иной уровень исправления для устройства. Благодаря интеграции с базой данных уязвимостей ПО с открытым исходным кодом (OSV) для получения данных из бюллетеня по безопасности Android библиотеки могут выполнять более глубокий анализ, чем раньше. Вместо того чтобы просто спрашивать, заблокирована ли определенная угроза, например запись CVE, эти данные позволяют библиотекам предоставлять "эффективное" и детальное состояние безопасности устройства.

Вот два преимущества такого подхода для компаний и производителей устройств Android:

• Иногда ежемесячное обновление системы безопасности не содержит информации о новых угрозах для определенного компонента. В этом случае библиотеки автоматически повышают уровень безопасности для этого компонента, чтобы отразить его "эффективное" состояние безопасности. Это позволяет точно определить, что устройство полностью защищено от всех известных угроз безопасности.
• В Android 17 появилась новая функция, позволяющая производителям устройств указывать в дополнительном XML-файле исправлений определенные исправления безопасности, которые были применены поверх уровня исправлений безопасности. Эта функция позволяет производителям устройств, которые переносят определенные исправления безопасности, сразу подтверждать соответствие устройств требованиям, не дожидаясь полного обновления уровня исправлений безопасности. Это позволяет правильно учитывать усилия по непрерывному исправлению. Библиотеки Security State предоставляют приложениям и сервисам подробную информацию, благодаря чему исправления, которые вы устанавливаете, распознаются сразу после внедрения.

Начало работы

Библиотеки статуса безопасности созданы для всей экосистемы Android.

• Разработчики приложений и поставщики решений для управления мобильными устройствами. Чтобы начать защищать пользователей и оценивать состояние исправлений в реальном времени, ознакомьтесь с официальным руководством по определению состояния безопасности устройства.
• Производители оригинального оборудования и клиенты для обновлений. Подключите клиентов для обновлений, чтобы использовать ASPL, с помощью библиотеки AndroidX Security State Provider. Чтобы получить немедленный кредит за перенесенные исправления, опубликуйте дополнительные XML-файлы исправлений.
• Примечания к выпуску. Ознакомьтесь с официальными примечаниями к выпуску AndroidX для библиотек Security-State и Security-State-Provider, чтобы узнать о всех изменениях и сигнатурах API.

Ваше мнение очень важно для нас, Попробуйте библиотеки в работе и сообщите нам свое мнение или об ошибках в общедоступной системе отслеживания ошибок Android.