Lue tiivistelmäSulje
- Google julkaisi stabiilit versiot AndroidX Security State -kirjastoista.
- Tietoturvatasoa mitataan jatkossa erikseen käyttöjärjestelmälle, moduuleille ja ytimelle.
- Uusi rajapinta mahdollistaa yksittäisten haavoittuvuuksien (CVE) tarkistamisen laitteelta.
- Tuleva Android 17 tukee laitevalmistajien erillisiä korjausilmoituksia XML-tiedostojen kautta.
Google on julkaissut virallisesti stabiilit versiot uusista AndroidX Security State 1.1.0– ja AndroidX Security State Provider 1.0.0 -kirjastoista. Uudistuksen tavoitteena on tuoda sovelluskehittäjille ja yritysten IT-hallinnalle huomattavasti aiempaa täsmällisempi näkyvyys Android-laitteiden todelliseen tietoturvatasoon sekä odottaviin päivityksiin.
Tähän asti Android-laitteiden tietoturvaa on tarkasteltu pääasiassa yhden kaavamaisen päivämäärän eli tietoturvakorjauksen tason (Security Patch Level, SPL) perusteella. Koska nykyaikainen Android koostuu useista itsenäisesti päivittyvistä osista — kuten taustalla päivittyvistä Google Play -järjestelmämoduuleista — yksittäinen päivämäärä ei enää kerro koko totuutta laitteen suojauksesta.
DigiNytin näkökulma: Käyttäjän kannalta uudistus vähentää tilanteita, joissa kriittinen sovellus estää käytön kokonaan vanhentuneen tietoturvapäiväyksen vuoksi, vaikka laitteeseen olisi jo asennettu uusin tarvittava osakorjaus.
Kolme päivitystasoa ja komponenttikohtainen erittely
Uudet AndroidX-kirjastot mahdollistavat laitteen tietoturvan arvioinnin kolmella eri tasolla, joita sovellukset voivat kysellä ohjelmallisesti:
- Laitteen päivitystaso (DSPL): Sillä hetkellä asennettuna ja käynnissä oleva korjaustaso, joka tarkistetaan paikallisesti ilman verkkopyyntöjä.
- Julkaistu päivitystaso (PSPL): Viimeisin virallisessa Android-tietoturvatiedotteessa julkaistu taso kyseisille komponenteille.
- Saatavilla oleva päivitystaso (ASPL): Päivitystaso, joka on jo ladattavissa ja asennettavissa laitteelle, mutta odottaa vielä asennuksen viimeistelyä.
Päivitystasoja seurataan erikseen kolmessa eri osiossa: varsinaisessa käyttöjärjestelmässä (System), taustalla päivittyvissä järjestelmämoduuleissa (Project Mainline) sekä laitteiston ja ohjelmiston yhdistävässä ytimessä (Kernel), jonka tilaa arvioidaan LTS-versioiden perusteella.
Joustavampaa tietoturvaa pankki- ja yrityssovelluksille
Uusi malli muuttaa tapaa, jolla kriittiset sovellukset — kuten pankki-, myynti- tai terveydenhuoltosovellukset — voivat reagoida puuttuviin päivityksiin. Aiemman ehdottoman pääsynepäämisen sijaan sovellus voi tarkistaa, onko laitteelle jo ladattu valmis päivitys (ASPL), ja ohjata käyttäjän asentamaan sen ennen herkkien toimintojen suorittamista.
Lisäksi kirjasto integroituu Open Source Vulnerabilities (OSV) -tietokantaan. Tämän ansiosta sovellukset voivat tarkistaa jopa yksittäisten kriittisten haavoittuvuuksien (CVE) korjaustilanteen — kuten varmistaa ennen lähimaksun hyväksymistä, että NFC- tai Bluetooth-korjaukset ovat varmasti voimassa.
Google kertoi samalla tulevan Android 17 -käyttöjärjestelmäversion uudistuksesta, joka mahdollistaa laitevalmistajille (OEM) yksittäisten taaksepäin portattujen tietoturvakorjausten ilmoittamisen erillisen Supplemental Patches XML -tiedoston avulla. Näin valmistajat voivat osoittaa laitteen olevan suojattu tietyltä uhalta ilman, että koko käyttöjärjestelmän versionumeroa tarvitsee nostaa.
Miksi tämä on merkittävää?
Mobiililaitteiden tietoturvapäivitykset ovat pirstaloituneet eri jakelukanaviin. Uusi rajapinta antaa kehittäjille ja yrityksille luotettavan tavoin varmistaa laitteen turvallisuus komponenttitasolla ilman nojaamista pelkkään valmistajan ilmoittamaan yleiseen päivämäärään.
Aiheesta uutta: Google tiukensi tekoälyn suorituskykytestejä: Android Bench 2.0 paljasti mallien rajat
Tekoälyavusteinen sisältö: Artikkeli on tuotettu tekoälyä hyödyntäen alkuperäislähteen pohjalta.
Aihekeskus: Android
