AndroidX Security State 程式庫簡介：裝置安全性的整合式資料檢視

Android 團隊持續努力，為開發人員和企業合作夥伴提供必要資料，協助他們保護裝置。今天，我們很高興宣布推出 AndroidX Security State 1.1.0 版和 Security State Provider1.0.0 版程式庫的穩定版本。這些程式庫提供集中式機制，可進一步提高 Android 生態系統中全面資安態勢和待處理更新的透明度。

無論您開發的是安全性至關重要的消費者應用程式 (例如銀行、金融科技或醫療保健)，還是行動裝置管理 (MDM) 解決方案，這些程式庫都能讓您以程式輔助方式，驗證裝置各元件的安全狀態。您不必依賴粗略、單一的安全性修補程式等級 (SPL)，而是可以透過 androidx.security.state 程式庫，評估真正的元件層級防護，以及是否有待處理的修復措施。如果是原始設備製造商 (OEM) 和無線更新 (OTA) 用戶端開發人員，則可使用隨附的 androidx.security.state.provider 程式庫，透過標準化機制提供更新。

瞭解安全性修補程式等級 (SPL)

Android 系統已演進為透過 Google Play 系統更新等模組化系統，快速獨立更新元件，因此單靠 SPL 建構屬性，已無法準確判斷裝置的實際資安態勢。為提供元件層級的資訊，安全性狀態程式庫提供三種不同修補程式等級的 API：

• 裝置安全性修補程式等級 (DSPL)：裝置上目前安裝並執行的安全性修補程式等級，適用於特定系統元件，可從裝置屬性和設定查詢，不需網路呼叫。
• 發布的安全性修補程式等級 (PSPL)：Android 安全性公告中正式發布的最新修補程式等級。
• 可用 SPL (ASPL)：可下載並安裝在特定裝置上的修補程式等級，透過與裝置端更新用戶端的處理序間通訊 (IPC) 非同步查詢。

安全性狀態程式庫會追蹤下列元件的修補程式等級：

• 系統： Android 核心作業系統，透過標準/原始設備製造商 (OEM) 系統 OTA 更新。
• 系統模組： 透過 Google Play 系統更新 (Mainline 計畫)，在背景順暢更新模組化 OS 子系統。
• 核心： 連接裝置硬體和軟體的基礎層，評估依據為長期支援 (LTS) 發布版本 (例如 5.15.159 或 6.1.91)，而非每月日期。

現在，開發人員和企業可以透過元件層級顯示的三種修補程式等級，準確瞭解裝置的安全性、找出缺少的修補程式，並主動採取補救措施。以下範例說明其中一種做法。

開發人員和企業可以結合 DSPL、PSPL 和 ASPL，根據情境做出明智的安全決策，而非採取全有或全無的裝置存取權限做法。舉例來說，銀行或企業應用程式可以先比較裝置目前的安全性修補程式 (DSPL) 和待處理更新 (ASPL)，再啟動高價值付款或憑證註冊等機密工作流程。如果有待安裝的更新，開發人員和企業可以要求使用者先更新裝置。如要進一步控管，開發人員和企業可以查詢裝置是否已修補特定高風險安全漏洞 (CVE)，例如在授權感應支付或鄰近分享資料前，確認是否已套用重要的 NFC 或藍牙修正。

概略流程

應用程式開發人員和企業管理

用戶端應用程式可以使用 androidx.security.state 程式庫，根據情境做出明智決策：

• 同步安全狀態檢查 (DSPL)：應用程式啟動時，可立即檢查系統、系統模組和核心安裝的修補程式等級，並與 PSPL 比較，確認裝置是否符合組織要求的安全基準，再解鎖敏感的企業資源或生物辨識存取權。
• 待更新提示 (ASPL)：如果員工裝置的修補程式版本稍舊，企業應用程式不會立即封鎖該員工，而是查詢 ASPL，確認是否有待處理的系統更新或 Google Play 系統更新已準備就緒，可供安裝。如果是，應用程式可以顯示量身打造的應用程式內指南，引導使用者前往系統設定完成安裝。
• 安全漏洞層級稽核 (CVE)：針對高保障用途，程式庫可從開放原始碼安全漏洞 (OSV) 下載裝置專屬安全漏洞報告，以程式輔助方式稽核裝置是否已解決特定重大 CVE。

原始設備製造商 (OEM) 和更新用戶端：標準化更新可用性

隨附的 androidx.security.state.provider 程式庫會建立標準化的 Android IPC 機制，讓更新用戶端直接在裝置上回報更新可用性。過去，即使專屬 OTA 用戶端顯示更新可用性，這項資訊也會遭到孤立，第三方應用程式無法查詢。日後，無論更新是透過原始設備製造商 (OEM) 的專屬 OTA 用戶端或 Google Play 提供，只要是由更新用戶端提供，應用程式就能透過單一整合 API 存取 ASPL 詳細資料。

• Google Play 系統更新已在 GMS Android 裝置上顯示 ASPL。
• Google Over-The-Air (GOTA) 也已上線，我們正與全球原始設備製造商 (OEM) 合作，將其 OTA 用戶端導入這個標準化架構。

納入公告層級資料

除了單一 SPL 字串外，Security State 程式庫還能清楚說明修補程式等級對裝置的實際意義。這些程式庫與開放原始碼安全漏洞 (OSV) 資料庫整合，可取得 Android 安全性公告資料，因此能進行更深入的檢查。除了詢問是否封鎖特定威脅 (例如 CVE 項目)，這類資料還能讓程式庫提供裝置的「有效」精細安全性狀態。

這種做法對企業和 Android 原始設備製造商 (OEM) 有兩大好處：

• 有時，每月安全性更新不會包含特定元件的新威脅。在這種情況下，程式庫會自動提高該元件的安全等級，反映其「有效」安全狀態。這可確保裝置能準確獲得積分，充分防範所有已知安全性威脅。
• Android 17 推出一項新功能，可讓原始設備製造商 (OEM) 透過補充修補程式 XML 檔案，宣告已在 SPL 之上套用特定安全性修正。這項功能可讓 OEM 立即證明裝置符合規範，不必等待完整的單一 SPL 升級，確保持續修補的努力獲得適當肯定。安全性狀態程式庫會向應用程式和服務提供這類精細資訊，確保系統在實施修補措施後，能立即偵測到。

開始使用

Security State Libraries 的設計宗旨是強化整個 Android 生態系統。

• 應用程式開發人員和 MDM：如要開始保護使用者並評估即時修補狀態，請參閱官方瞭解裝置安全性狀態指南。
• 原始設備製造商 (OEM) 和更新用戶端：請將更新用戶端納入，使用 AndroidX Security State Provider 程式庫公開 ASPL。發布補充修補程式 XML，立即取得向後移植修補程式的積分。
• 版本資訊：請參閱 Security-State 和 Security-State-Provider 程式庫的官方 AndroidX 版本資訊，查看完整的變更記錄和 API 簽章。

我們很重視創作者的意見！歡迎試用程式庫，並在公開的 Android Issue Tracker 告訴我們您的想法或回報任何問題。