Memperkenalkan Library Status Keamanan AndroidX: Tampilan Terpadu Keamanan Perangkat

Di Android, kami terus berupaya memberikan data yang diperlukan kepada developer dan partner perusahaan untuk menjaga perangkat tetap terlindungi. Hari ini, kami dengan senang hati mengumumkan rilis stabil library AndroidX Security State versi 1.1.0 dan Security State Provider versi 1.0.0 yang menyediakan mekanisme terpusat yang dirancang untuk memberikan transparansi lebih lanjut pada postur keamanan yang komprehensif dan update yang tertunda di seluruh ekosistem Android.

Baik Anda mengembangkan aplikasi yang sangat penting untuk keamanan dan ditujukan untuk konsumen (seperti perbankan, fintech, atau layanan kesehatan) maupun solusi Pengelolaan Perangkat Seluler (MDM), library ini memungkinkan Anda memverifikasi status keamanan perangkat secara terprogram per komponen. Daripada mengandalkan Tingkat Patch Keamanan (SPL) monolitik yang kasar, Anda dapat mengevaluasi perlindungan tingkat komponen yang sebenarnya dan apakah perbaikan sedang menunggu secara aktif melalui library androidx.security.state. Untuk OEM dan developer klien Over-The-Air (OTA), library pendamping androidx.security.state.provider memungkinkan Anda mengekspos ketersediaan update melalui mekanisme standar.

Memahami Tingkat Patch Keamanan (SPL)

Seiring berkembangnya Android untuk memberikan update komponen yang cepat dan independen melalui sistem modular seperti update sistem Google Play, mengandalkan satu properti build SPL tidak lagi menjadi cara terbaik untuk menentukan postur keamanan perangkat yang sebenarnya. Untuk memberikan visibilitas tingkat komponen, library Status Keamanan menyediakan API untuk tiga level patch yang berbeda:

• SPL Perangkat (DSPL): Tingkat patch keamanan yang saat ini diinstal dan berjalan di perangkat untuk komponen sistem tertentu, yang dikueri dari properti dan konfigurasi perangkat tanpa panggilan jaringan.
• SPL yang Dipublikasikan (PSPL): Tingkat patch terbaru yang dipublikasikan secara resmi di Buletin Keamanan Android untuk komponen tersebut.
• SPL yang tersedia (ASPL): Tingkat patch yang siap didownload dan diinstal di perangkat tertentu, yang dikueri secara asinkron melalui komunikasi antar-proses (IPC) dengan klien update di perangkat.

Library Status Keamanan melacak level patch ini di seluruh komponen berikut:

• Sistem: Sistem operasi Android inti, yang diupdate melalui update OTA sistem standar/OEM.
• Modul sistem: Subsistem OS modular yang diupdate dengan lancar di latar belakang melalui update sistem Google Play (Project Mainline).
• Kernel: Lapisan dasar yang menghubungkan hardware dan software perangkat, yang dievaluasi melalui versi rilis Dukungan Jangka Panjang (LTS) (seperti 5.15.159 atau 6.1.91), bukan tanggal kalender bulanan.

Dengan menampilkan tiga tingkat patch yang berbeda ini di tingkat komponen, developer dan perusahaan kini dapat memahami dengan tepat seberapa aman perangkat, mengidentifikasi patch yang tidak ada, dan mengambil langkah-langkah perbaikan proaktif. Salah satu cara untuk melakukannya dapat dilihat pada contoh di bawah.

Daripada mengambil pendekatan semua atau tidak sama sekali untuk akses perangkat, developer dan perusahaan dapat menggabungkan DSPL, PSPL, dan ASPL untuk membuat keputusan keamanan kontekstual yang cerdas. Misalnya, aplikasi perbankan atau perusahaan dapat membandingkan patch keamanan perangkat saat ini (DSPL) dengan update yang tertunda (ASPL) sebelum memulai alur kerja sensitif seperti pembayaran bernilai tinggi atau pendaftaran kredensial. Jika ada update yang menunggu untuk diinstal, developer dan perusahaan dapat mewajibkan pengguna untuk mengupdate perangkat mereka terlebih dahulu. Untuk kontrol yang lebih mendetail, developer dan perusahaan dapat mengkueri apakah kerentanan berisiko tinggi (CVE) tertentu telah di-patch di perangkat, seperti memverifikasi bahwa perbaikan NFC atau Bluetooth penting telah diterapkan sebelum mengizinkan pembayaran nirsentuh atau berbagi data jarak dekat.

Alur umum

Untuk developer aplikasi dan pengelolaan perusahaan

Aplikasi klien dapat menggunakan library androidx.security.state untuk membuat keputusan yang tepat dan berbasis konteks:

• Pemeriksaan Postur Sinkron (DSPL): Aplikasi dapat langsung memeriksa level patch yang diinstal pada sistem, modul sistem, dan kernel saat aplikasi diluncurkan, lalu membandingkannya dengan PSPL untuk memverifikasi apakah perangkat memenuhi dasar pengukuran keamanan yang diperlukan organisasi sebelum membuka akses biometrik atau resource perusahaan yang sensitif.
• Permintaan Update Tertunda (ASPL): Daripada langsung memblokir karyawan yang perangkatnya sedikit tertinggal dalam patch, aplikasi perusahaan dapat mengkueri ASPL untuk memeriksa apakah update sistem atau update sistem Google Play yang tertunda sudah disiapkan dan siap diinstal. Jika demikian, aplikasi dapat menampilkan panduan dalam aplikasi yang disesuaikan untuk mengarahkan pengguna ke Setelan Sistem guna menyelesaikan penginstalan.
• Audit Tingkat Kerentanan (CVE): Untuk kasus penggunaan dengan jaminan tinggi, library ini menyediakan kemampuan untuk mendownload laporan kerentanan khusus perangkat dari Open Source Vulnerabilities (OSV) guna mengaudit secara terprogram apakah CVE tertentu yang penting telah diselesaikan di perangkat.

Untuk OEM & klien update: Menstandarkan ketersediaan update

Library pendamping androidx.security.state.provider membuat mekanisme IPC Android standar bagi klien update untuk melaporkan ketersediaan update langsung di perangkat. Secara historis, meskipun klien OTA eksklusif menampilkan ketersediaan update, informasi ini terpisah dan tidak dapat dikueri oleh aplikasi pihak ketiga. Ke depannya, aplikasi dapat mengakses detail ASPL melalui satu API terpadu, terlepas dari apakah update dikirimkan melalui klien OTA khusus OEM atau Google Play, asalkan disediakan oleh klien update.

• Update sistem Google Play sudah mengekspos ASPL di seluruh perangkat Android GMS.
• Google Over-The-Air (GOTA) juga telah diaktifkan dan kami bekerja sama dengan OEM di seluruh dunia untuk mengaktifkan klien OTA mereka ke framework standar ini.

Menggabungkan data tingkat buletin

Selain satu string SPL, library Status Keamanan memberikan kejelasan tentang arti sebenarnya dari level patch tersebut untuk perangkat. Dengan berintegrasi dengan database Open Source Vulnerabilities (OSV) untuk mendapatkan data Buletin Keamanan Android, library dapat melihat lebih dalam dari sebelumnya. Selain hanya menanyakan apakah ancaman tertentu, seperti entri CVE, diblokir, data ini juga memungkinkan library memberikan status keamanan perangkat yang “efektif” dan terperinci.

Berikut adalah dua cara pendekatan ini menguntungkan perusahaan dan OEM Android:

• Terkadang, update keamanan bulanan tidak berisi ancaman baru untuk komponen tertentu. Dalam hal ini, library akan otomatis meningkatkan tingkat keamanan untuk komponen tersebut guna mencerminkan status keamanan "efektif"-nya. Hal ini memastikan bahwa perangkat dikreditkan secara akurat karena sepenuhnya terlindungi dari semua ancaman keamanan yang diketahui.
• Fitur baru yang diperkenalkan di Android 17 memungkinkan OEM mendeklarasikan perbaikan keamanan tertentu yang telah diterapkan di atas SPL melalui file XML Patch Tambahan. Fitur ini memungkinkan OEM yang melakukan backport perbaikan keamanan tertentu untuk segera membuktikan kepatuhan perangkat tanpa harus menunggu peningkatan SPL monolitik penuh, sehingga memastikan upaya patching berkelanjutan diakui dengan benar. Library Status Keamanan menampilkan informasi terperinci ini ke aplikasi dan layanan, sehingga memastikan bahwa upaya patching berkelanjutan dikenali saat diterapkan.

Mulai

Library Status Keamanan dibuat untuk mendukung seluruh ekosistem Android.

• Developer Aplikasi & MDM: Untuk mulai melindungi pengguna dan mengevaluasi postur patch real-time, pelajari panduan Memahami status keamanan perangkat resmi.
• OEM dan Klien Update: Aktifkan klien update Anda untuk mengekspos ASPL menggunakan library Penyedia Status Keamanan AndroidX. Klaim kredit langsung untuk patch yang di-backport dengan memublikasikan XML Patch Tambahan.
• Catatan Rilis: Lihat Catatan Rilis AndroidX resmi untuk library Security-State dan Security-State-Provider guna mengetahui log perubahan dan tanda tangan API lengkap.

Kami menghargai masukan Anda. Cobalah library ini dan sampaikan pendapat Anda atau laporkan masalah apa pun di Issue Tracker Android publik.