نقدّم لك مكتبات حالة الأمان في AndroidX: عرض موحّد لأمان الجهاز

في Android، نعمل باستمرار على تزويد المطوّرين والشركاء من المؤسسات بالبيانات التي يحتاجون إليها للحفاظ على حماية الأجهزة. يسرّنا اليوم الإعلان عن الإصدار الثابت من مكتبتَي AndroidX Security State الإصدار 1.1.0 وSecurity State Provider الإصدار 1.0.0 اللتين توفّران آلية مركزية مصمّمة لتعزيز الشفافية بشأن الوضع الأمني الشامل والتحديثات في انتظار المراجعة في منظومة Android المتكاملة.

سواء كنت مطوّرًا لتطبيقات بالغة الأهمية من ناحية الأمان ومُوجَّهة للمستهلكين (مثل الخدمات المصرفية أو التكنولوجيا المالية أو الرعاية الصحية) أو حلول إدارة الأجهزة الجوّالة (MDM)، تتيح لك هذه المكتبات التحقّق آليًا من حالة أمان الجهاز لكل مكوّن. بدلاً من الاعتماد على مستوى رمز تصحيح الأمان العام والموحّد، يمكنك تقييم الحماية الحقيقية على مستوى المكوّن وما إذا كانت عمليات الإصلاح معلّقة حاليًا من خلال مكتبة androidx.security.state. بالنسبة إلى المصنّعين الأصليين للأجهزة ومطوّري تطبيقات العملاء التي يتم تنزيلها عبر شبكة غير سلكيّة (OTA)، تتيح لك مكتبة androidx.security.state.provider عرض مدى توفّر التحديثات من خلال آليات موحّدة.

فهم مستويات رمز تصحيح الأمان (SPL)

مع تطوّر Android لتوفير تحديثات سريعة ومستقلة للمكوّنات من خلال أنظمة معيارية مثل تحديثات نظام Google Play، لم يعُد الاعتماد على خاصية واحدة من "تصميم تصحيح مستوى الأمان" أفضل طريقة لتحديد حالة الأمان الحقيقية للجهاز. لتوفير إمكانية الاطّلاع على مستوى المكوّنات، توفّر مكتبات "حالة الأمان" واجهات برمجة تطبيقات لثلاثة مستويات مختلفة من رموز التصحيح:

• مستوى رمز تصحيح الأمان على الجهاز (DSPL): هو مستوى رمز تصحيح الأمان المثبَّت حاليًا والذي يتم تشغيله على الجهاز لمكوّنات نظام معيّنة، ويتم طلبه من خصائص الجهاز وإعداداته بدون إجراء طلبات عبر الشبكة.
• مستوى رمز تصحيح الأمان المنشور (PSPL): هو أحدث مستوى لرمز التصحيح تم نشره رسميًا في نشرة أمان Android لهذه المكوّنات.
• مستوى رمز تصحيح الأمان المتاح (ASPL): هو مستوى رمز التصحيح الجاهز للتنزيل والتثبيت على جهاز معيّن، ويتم الاستعلام عنه بشكل غير متزامن من خلال الاتصال بين العمليات (IPC) مع برامج تحديث الأجهزة.

تتتبّع مكتبات Security State مستويات رموز التصحيح هذه في المكوّنات التالية:

• النظام: هو نظام التشغيل Android الأساسي الذي يتم تحديثه من خلال تحديثات النظام العادية أو تحديثات النظام عبر شبكة غير سلكية (OTA) من الشركة المصنّعة للجهاز الأصلي.
• وحدات النظام: هي أنظمة فرعية لنظام التشغيل يتم تحديثها بسلاسة في الخلفية من خلال تحديثات نظام Google Play (مشروع Mainline).
• النواة: هي الطبقة الأساسية التي تربط بين أجهزة الجهاز وبرامجه، ويتم تقييمها من خلال نسخ إصدارات الدعم الطويل الأمد (LTS) (مثل 5.15.159 أو 6.1.91) بدلاً من تواريخ التقويم الشهرية.

من خلال عرض مستويات رموز التصحيح الثلاثة المختلفة هذه على مستوى المكوّن، يمكن للمطوّرين والمؤسسات الآن فهم مستوى أمان الجهاز بدقة وتحديد رموز التصحيح غير المتوفّرة واتّخاذ خطوات استباقية لإصلاحها. يمكنك الاطّلاع على إحدى طرق إجراء ذلك في المثال أدناه.

بدلاً من اتّباع نهج "الكل أو لا شيء" في ما يتعلّق بالوصول إلى الأجهزة، يمكن للمطوّرين والمؤسسات الجمع بين DSPL وPSPL وASPL لاتّخاذ قرارات أمان ذكية ومستندة إلى السياق. على سبيل المثال، يمكن لتطبيق مصرفي أو تطبيق مؤسسة مقارنة مستوى تصحيح الأمان الحالي للجهاز (DSPL) بالتحديثات في انتظار المراجعة (ASPL) قبل بدء سير العمل الحساس مثل الدفعات العالية القيمة أو تسجيل بيانات الاعتماد. إذا كان هناك تحديث في انتظار التثبيت، يمكن للمطوّرين والمؤسسات أن يطلبوا من المستخدم تحديث جهازه أولاً. ولمزيد من التحكّم، يمكن للمطوّرين والمؤسسات الاستعلام عمّا إذا تم إصلاح ثغرات أمنية معيّنة عالية الخطورة (CVEs) على الجهاز، مثل التحقّق من أنّ الإصلاحات المهمة لتقنية NFC أو البلوتوث قد تم تطبيقها قبل السماح بالدفع بدون تلامس أو مشاركة البيانات عن قرب.

الخطوات العالية المستوى

لمطوّري التطبيقات وإدارة المؤسسات

يمكن لتطبيقات العملاء استخدام مكتبة androidx.security.state لاتخاذ قرارات مدروسة وذكية:

• عمليات التحقّق المتزامنة من الوضع (DSPL): يمكن للتطبيقات فحص مستويات تصحيح النظام ووحدات النظام ونواة النظام المثبَّتة على الفور عند تشغيل التطبيق ومقارنتها بمستوى PSPL للتحقّق مما إذا كان الجهاز يستوفي الحدّ الأدنى المطلوب من الأمان الذي تحدّده المؤسسة قبل فتح موارد الشركة الحساسة أو الوصول إليها باستخدام المقاييس الحيوية.
• الطلب المعلّق للتحديث (ASPL): بدلاً من حظر موظف على الفور بسبب تأخّر جهازه قليلاً في تثبيت رموز التصحيح، يمكن لتطبيقات المؤسسة الاستعلام عن ASPL للتحقّق مما إذا كان هناك تحديث معلّق للنظام أو تحديث نظام Google Play جاهزًا للتثبيت. في هذه الحالة، يمكن للتطبيقات عرض إرشادات مخصّصة داخل التطبيق توجّه المستخدم إلى "إعدادات النظام" لإكمال عملية التثبيت.
• التدقيق على مستوى الثغرات الأمنية (CVE): في حالات الاستخدام التي تتطلّب مستوى عالٍ من الأمان، تتيح المكتبة إمكانية تنزيل تقارير الثغرات الأمنية الخاصة بالجهاز من Open Source Vulnerabilities (OSV) للتدقيق آليًا في ما إذا تم حلّ ثغرات CVE محدّدة وخطيرة على الجهاز.

لمصنّعي المعدات الأصلية وعملاء التحديث: توحيد مدى توفّر التحديثات

توفّر مكتبة androidx.security.state.provider آلية موحّدة لنظام التشغيل Android IPC تتيح لبرامج التحديث إبلاغ المستخدمين بتوفّر التحديث مباشرةً على الجهاز. في السابق، حتى إذا عرضت برامج OTA الخاصة معلومات حول توفّر التحديث، كانت هذه المعلومات محصورة ولا يمكن للتطبيقات التابعة لجهات خارجية الاستعلام عنها. من الآن فصاعدًا، يمكن للتطبيقات الوصول إلى تفاصيل ASPL من خلال واجهة برمجة تطبيقات واحدة وموحّدة، بغض النظر عمّا إذا كان التحديث يتم تسليمه من خلال عميل OTA مخصّص للمصنّع الأصلي للجهاز أو Google Play، طالما أنّه يتم توفيره من خلال عميل التحديث.

• تتيح تحديثات نظام Google Play حاليًا استخدام ASPL على جميع أجهزة Android التي تعمل بخدمات Google للأجهزة الجوّالة.
• تم أيضًا إعداد خدمة "Google عبر شبكة غير سلكيّة" (GOTA)، ونحن نعمل مع المصنّعين الأصليين للأجهزة في جميع أنحاء العالم لإعداد عملاء التحديثات عبر اتصال لاسلكي على هذا الإطار الموحّد.

تضمين بيانات على مستوى النشرة

بالإضافة إلى سلسلة SPL واحدة، توفّر مكتبات Security State توضيحًا لما يعنيه مستوى رمز التصحيح هذا للجهاز. من خلال التكامل مع قاعدة بيانات "الثغرات الأمنية في البرامج المفتوحة المصدر" (OSV) للحصول على بيانات نشرة أمان Android، يمكن للمكتبات البحث بشكل أعمق من أي وقت مضى. بدلاً من مجرد السؤال عما إذا كان قد تم حظر تهديد معيّن، مثل إدخال CVE، تتيح هذه البيانات أيضًا للمكتبات توفير حالة الأمان "الفعّالة" والدقيقة للجهاز.

في ما يلي طريقتان تستفيد منهما المؤسسات ومصنّعو المعدات الأصلية لأجهزة Android:

• في بعض الأحيان، لا يحتوي تحديث الأمان الشهري على أي تهديدات جديدة لمكوّن معيّن. في هذه الحالة، تزيد المكتبات تلقائيًا مستوى الأمان لهذا المكوّن لتعكس حالة الأمان "الفعّالة". يضمن ذلك أن يتم منح الجهاز تقييمًا دقيقًا على أنّه محمي بالكامل من جميع التهديدات الأمنية المعروفة.
• تتيح ميزة جديدة في Android 17 للمصنّعين الأصليين للأجهزة الإفصاح عن إصلاحات أمان محدّدة تم تطبيقها فوق مستوى تصحيح الأمان من خلال ملف XML للتصحيحات التكميلية. تتيح هذه الميزة لمصنّعي المعدات الأصلية الذين ينقلون إصلاحات أمان معيّنة إلى إصدارات أقدم إثبات امتثال الجهاز على الفور بدون الحاجة إلى انتظار زيادة كاملة في مستوى تصحيح الأمان، ما يضمن تقدير جهود التصحيح المستمرة بشكل صحيح. تعرض مكتبات "حالة الأمان" هذه المعلومات التفصيلية للتطبيقات والخدمات، ما يضمن التعرّف على جهود التصحيح المستمرة فور تنفيذها.

البدء

تم تصميم "مكتبات حالة الأمان" لتعزيز المنظومة المتكاملة لنظام Android بأكملها.

• مطوّرو التطبيقات وإدارة الأجهزة الجوّالة (MDM): للبدء في حماية المستخدمين وتقييم حالة التصحيح في الوقت الفعلي، يمكنك الاطّلاع على دليل فهم حالة أمان الجهاز الرسمي.
• المصنّعون الأصليون للأجهزة وعملاء التحديث: يمكنك إعداد عملاء التحديث لعرض ASPL باستخدام مكتبة AndroidX Security State Provider. يمكنك المطالبة برصيد فوري مقابل حِزم التصحيح التي تم نقلها إلى إصدارات سابقة من خلال نشر ملفات XML لحِزم التصحيح التكميلية.
• ملاحظات الإصدار: يمكنك الاطّلاع على ملاحظات الإصدار الرسمية في AndroidX بشأن مكتبتَي Security-State وSecurity-State-Provider للاطّلاع على سجلات التغيير الكاملة وتوقيعات واجهة برمجة التطبيقات.

نحن نقدّر ملاحظاتك. يُرجى تجربة المكتبات وإعلامنا برأيك أو الإبلاغ عن أي مشاكل في أداة تتبُّع المشاكل العامة في Android.