Conheça as bibliotecas de estado de segurança do AndroidX: uma visualização unificada da segurança do dispositivo

No Android, trabalhamos constantemente para fornecer aos desenvolvedores e parceiros corporativos os dados necessários para manter os dispositivos protegidos. Hoje, temos o prazer de anunciar o lançamento estável das bibliotecas AndroidX Security State versão 1.1.0 e Security State Provider versão 1.0.0, que oferecem um mecanismo centralizado projetado para trazer mais transparência à postura de segurança abrangente e às atualizações pendentes em todo o ecossistema Android.

Seja para desenvolver apps de segurança crítica voltados ao consumidor (como bancos, fintechs ou saúde) ou soluções de gerenciamento de dispositivos móveis (MDM), essas bibliotecas permitem verificar de forma programática o estado de segurança do dispositivo por componente. Em vez de depender de um nível de patch de segurança (SPL, na sigla em inglês) genérico e monolítico, você pode avaliar a proteção real no nível do componente e se as correções estão ativamente pendentes usando a biblioteca androidx.security.state. Para OEMs e desenvolvedores de clientes over the air (OTA), a biblioteca complementar androidx.security.state.provider permite expor a disponibilidade de atualizações usando mecanismos padronizados.

Noções básicas sobre os níveis de patch de segurança (SPL)

Como o Android evoluiu para oferecer atualizações de componentes rápidas e independentes por sistemas modulares, como as atualizações do sistema do Google Play, depender de uma única propriedade de build do SPL não é mais a melhor maneira de determinar a postura de segurança real de um dispositivo. Para oferecer visibilidade no nível do componente, as bibliotecas de estado de segurança fornecem APIs para três níveis de patch distintos:

• Nível do patch de segurança do dispositivo (DSPL, na sigla em inglês): o nível do patch de segurança instalado e em execução no dispositivo para componentes específicos do sistema, consultado nas propriedades e configurações do dispositivo sem chamadas de rede.
• SPL publicado (PSPL, na sigla em inglês): o nível de patch mais recente publicado oficialmente no Boletim de segurança do Android para esses componentes.
• SPL disponível (ASPL): o nível de patch pronto para download e instalação no dispositivo específico, consultado de forma assíncrona por comunicação entre processos (IPC) com clientes de atualização no dispositivo.

As bibliotecas de estado de segurança rastreiam esses níveis de patch nos seguintes componentes:

• Sistema : o sistema operacional Android principal, atualizado por atualizações OTA padrão/OEM.
• Módulos do sistema : subsistemas modulares do SO atualizados em segundo plano pelas atualizações do sistema do Google Play (Projeto Mainline).
• Kernel : a camada fundamental que conecta o hardware e o software do dispositivo, avaliada por versões de lançamento de suporte de longo prazo (LTS, na sigla em inglês), como 5.15.159 ou 6.1.91, em vez de datas do calendário mensal.

Ao mostrar esses três níveis de patch distintos no nível do componente, os desenvolvedores e as empresas agora podem entender exatamente o nível de segurança de um dispositivo, identificar patches ausentes e tomar medidas proativas de correção. Uma maneira de fazer isso é mostrada no exemplo abaixo.

Em vez de adotar uma abordagem de tudo ou nada para o acesso ao dispositivo, os desenvolvedores e as empresas podem combinar DSPL, PSPL e ASPL para tomar decisões de segurança inteligentes e contextuais. Por exemplo, um app bancário ou empresarial pode comparar o nível de patch de segurança do dispositivo (DSPL) atual com as atualizações pendentes (ASPL) antes de iniciar fluxos de trabalho sensíveis, como pagamentos de alto valor ou registro de credenciais. Se houver uma atualização pendente, os desenvolvedores e as empresas podem exigir que o usuário atualize o dispositivo primeiro. Para um controle ainda mais preciso, desenvolvedores e empresas podem consultar se vulnerabilidades específicas de alto risco (CVEs) foram corrigidas no dispositivo, como verificar se as correções críticas de NFC ou Bluetooth estão em vigor antes de autorizar o pagamento por aproximação ou o compartilhamento de dados pessoais por proximidade.

Fluxo de alto nível

Para desenvolvedores de apps e gerenciamento empresarial

Os aplicativos cliente podem usar a biblioteca androidx.security.state para tomar decisões fundamentadas e que consideram o contexto:

• Verificações de postura síncronas (DSPL): os apps podem inspecionar imediatamente os níveis de patch instalados do sistema, dos módulos do sistema e do kernel na inicialização do app e comparar com a PSPL para verificar se o dispositivo atende ao valor de referência de segurança exigido por uma organização antes de desbloquear recursos corporativos sensíveis ou acesso biométrico.
• Solicitação de atualização pendente (ASPL): em vez de bloquear imediatamente um funcionário com um dispositivo um pouco desatualizado, os apps corporativos podem consultar o ASPL para verificar se há uma atualização do sistema ou uma atualização do sistema do Google Play pendente e pronta para instalação. Se sim, os apps podem mostrar orientações personalizadas no app que direcionam o usuário às configurações do sistema para concluir a instalação.
• Auditoria no nível de vulnerabilidade (CVEs): para casos de uso de alta garantia, a biblioteca oferece a capacidade de baixar relatórios de vulnerabilidade específicos do dispositivo do Open Source Vulnerabilities (OSV) para auditar de forma programática se CVEs específicas e críticas foram resolvidas no dispositivo.

Para OEMs e clientes de atualização: padronização da disponibilidade de atualizações

A biblioteca complementar androidx.security.state.provider estabelece um mecanismo padronizado de IPC do Android para que os clientes de atualização informem a disponibilidade de atualizações diretamente no dispositivo. Historicamente, mesmo que os clientes de OTA proprietários mostrassem a disponibilidade de atualizações, essas informações eram isoladas e não podiam ser consultadas por aplicativos de terceiros. A partir de agora, os apps podem acessar os detalhes do ASPL por uma única API unificada, independentemente de a atualização ser fornecida por um cliente OTA dedicado de um OEM ou pelo Google Play, desde que seja fornecida pelo cliente de atualização.

• As atualizações do sistema do Google Play já expõem o ASPL em dispositivos Android com GMS.
• O Google Over-The-Air (GOTA) também foi integrado, e estamos trabalhando com OEMs do mundo todo para integrar os clientes de OTA a esse framework padronizado.

Incorporação de dados no nível do boletim

Além de uma única string de SPL, as bibliotecas de estado de segurança esclarecem o que esse nível de patch realmente significa para o dispositivo. Ao se integrar ao banco de dados de vulnerabilidades de código aberto (OSV) para receber dados do Boletim de segurança do Android, as bibliotecas podem analisar mais a fundo do que nunca. Em vez de apenas perguntar se uma ameaça específica, como uma entrada de CVE, está bloqueada, esses dados também permitem que as bibliotecas forneçam o estado de segurança "efetivo" e granular do dispositivo.

Veja duas maneiras como essa abordagem beneficia as empresas e os OEMs do Android:

• Às vezes, uma atualização de segurança mensal não contém novas ameaças para um componente específico. Nesse caso, as bibliotecas incrementam automaticamente o nível de segurança desse componente para refletir o estado de segurança "efetivo". Isso garante que um dispositivo seja creditado com precisão por estar totalmente protegido contra todas as ameaças de segurança conhecidas.
• Um novo recurso lançado no Android 17 permite que os OEMs declarem correções de segurança específicas que foram aplicadas acima do SPL usando um arquivo XML de patches complementares. Esse recurso permite que os OEMs que fazem o backport de correções de segurança específicas comprovem imediatamente a conformidade do dispositivo sem precisar esperar por um aumento completo do SPL monolítico, garantindo que os esforços contínuos de aplicação de patches sejam devidamente creditados. As bibliotecas de estado de segurança mostram essas informações granulares para apps e serviços, garantindo que os esforços de aplicação de patches contínuos sejam reconhecidos no momento em que são implementados.

Começar

As bibliotecas de estado de segurança foram criadas para capacitar todo o ecossistema Android.

• Desenvolvedores de apps e MDMs:para começar a proteger seus usuários e avaliar a postura de patch em tempo real, consulte o guia oficial Entender o estado de segurança do dispositivo.
• OEMs e clientes de atualização:integre seus clientes de atualização para expor o ASPL usando a biblioteca AndroidX Security State Provider. Solicite crédito imediato para patches de backport publicando XMLs de patches complementares.
• Notas da versão:confira as notas da versão oficiais do AndroidX para as bibliotecas Security-State e Security-State-Provider para ver os registros de alterações completos e as assinaturas de API.

Seu feedback é importante para nós Teste as bibliotecas e conte o que achou ou informe problemas no Issue Tracker público do Android.