पेश है AndroidX Security State Libraries: डिवाइस की सुरक्षा के बारे में एक ही जगह पर जानकारी

Android पर, हम लगातार काम कर रहे हैं, ताकि डेवलपर और एंटरप्राइज़ पार्टनर को वह डेटा मिल सके जिसकी मदद से वे डिवाइसों को सुरक्षित रख सकें. हमें यह बताते हुए खुशी हो रही है कि आज हम AndroidX Security State वर्शन 1.1.0 और Security State Providerवर्शन 1.0.0 लाइब्रेरी का स्टेबल वर्शन रिलीज़ कर रहे हैं. ये लाइब्रेरी, Android के पूरे इकोसिस्टम में सुरक्षा से जुड़ी स्थिति और लंबित अपडेट के बारे में ज़्यादा पारदर्शिता लाने के लिए डिज़ाइन की गई एक केंद्रीकृत सुविधा उपलब्ध कराती हैं.

चाहे आपको सुरक्षा के लिहाज़ से ज़रूरी, ग्राहकों से डील करने वाले ऐप्लिकेशन (जैसे, बैंकिंग, फ़िनटेक या स्वास्थ्य सेवा) या मोबाइल डिवाइस मैनेजमेंट (एमडीएम) के समाधान तैयार करने हों, ये लाइब्रेरी आपको हर कॉम्पोनेंट के हिसाब से, डिवाइस की सुरक्षा की स्थिति की पुष्टि करने की सुविधा देती हैं. मोटे तौर पर एक ही तरह के सुरक्षा पैच का लेवल (एसपीएल) पर भरोसा करने के बजाय, androidx.security.state लाइब्रेरी की मदद से, कॉम्पोनेंट-लेवल की सुरक्षा का आकलन किया जा सकता है. साथ ही, यह पता लगाया जा सकता है कि सुरक्षा से जुड़ी समस्याएं ठीक करने के लिए, कोई कार्रवाई लंबित है या नहीं. ओईएम और ओवर-द-एयर (OTA) क्लाइंट डेवलपर के लिए, कंपैनियन androidx.security.state.provider लाइब्रेरी की मदद से, अपडेट की उपलब्धता को स्टैंडर्ड तरीके से दिखाया जा सकता है.

सुरक्षा पैच के लेवल (एसपीएल) के बारे में जानकारी

Android में, Google Play के सिस्टम अपडेट जैसे मॉड्यूलर सिस्टम के ज़रिए, तेज़ी से और स्वतंत्र रूप से कॉम्पोनेंट अपडेट डिलीवर करने की सुविधा उपलब्ध है. इसलिए, किसी डिवाइस की सुरक्षा की स्थिति का पता लगाने के लिए, अब SPL की एक ही बिल्ड प्रॉपर्टी पर भरोसा करना सबसे सही तरीका नहीं है. कंपोनेंट लेवल की विज़िबिलिटी देने के लिए, Security State लाइब्रेरी तीन अलग-अलग पैच लेवल के लिए एपीआई उपलब्ध कराती हैं:

• डिवाइस एसपीएल (डीएसपीएल): यह डिवाइस पर इंस्टॉल किया गया और चल रहा सुरक्षा पैच का लेवल होता है. यह सिस्टम के कुछ कॉम्पोनेंट के लिए होता है. इसे डिवाइस की प्रॉपर्टी और कॉन्फ़िगरेशन से क्वेरी किया जाता है. इसके लिए, नेटवर्क कॉल की ज़रूरत नहीं होती.
• पब्लिश किया गया एसपीएल (पीएसपीएल): यह उन कॉम्पोनेंट के लिए, Android सुरक्षा बुलेटिन में आधिकारिक तौर पर पब्लिश किया गया नया पैच लेवल होता है.
• उपलब्ध एसपीएल (एएसपीएल): यह पैच लेवल, किसी डिवाइस पर डाउनलोड और इंस्टॉल करने के लिए तैयार होता है. इसे डिवाइस पर अपडेट करने वाले क्लाइंट के साथ इंटर-प्रोसेस कम्यूनिकेशन (आईपीसी) के ज़रिए, एसिंक्रोनस तरीके से क्वेरी किया जाता है.

Security State लाइब्रेरी, इन कॉम्पोनेंट के लिए पैच लेवल ट्रैक करती हैं:

• सिस्टम: यह Android ऑपरेटिंग सिस्टम का मुख्य हिस्सा होता है. इसे स्टैंडर्ड/ओईएम सिस्टम के ओटीए अपडेट के ज़रिए अपडेट किया जाता है.
• सिस्टम मॉड्यूल: मॉड्यूलर ओएस के सबसिस्टम, Google Play के सिस्टम अपडेट (प्रोजेक्ट मेनलाइन) के ज़रिए बैकग्राउंड में आसानी से अपडेट किए जाते हैं.
• कर्नेल: यह डिवाइस के हार्डवेयर और सॉफ़्टवेयर को कनेक्ट करने वाली बुनियादी लेयर होती है. इसका आकलन, हर महीने की तारीखों के बजाय, लंबे समय तक सहायता (एलटीएस) वाले रिलीज़ वर्शन (जैसे, 5.15.159 या 6.1.91) के ज़रिए किया जाता है.

कॉम्पोनेंट लेवल पर इन तीन अलग-अलग पैच लेवल को दिखाने से, डेवलपर और एंटरप्राइज़ अब यह समझ सकते हैं कि कोई डिवाइस कितना सुरक्षित है. साथ ही, वे छूटे हुए पैच की पहचान कर सकते हैं और समस्या को ठीक करने के लिए पहले से ही कदम उठा सकते हैं. ऐसा करने का एक तरीका यहां दिए गए उदाहरण में देखा जा सकता है.

डिवाइस के ऐक्सेस के लिए, डेवलपर और एंटरप्राइज़, डीएसपीएल, पीएसपीएल, और एएसपीएल को एक साथ इस्तेमाल कर सकते हैं. इससे वे सुरक्षा से जुड़े फ़ैसले, बेहतर तरीके से और संदर्भ के हिसाब से ले पाते हैं. उदाहरण के लिए, बैंकिंग या एंटरप्राइज़ ऐप्लिकेशन, ज़्यादा अहम वर्कफ़्लो शुरू करने से पहले, डिवाइस के मौजूदा सुरक्षा पैच (डीएसपीएल) की तुलना, लंबित अपडेट (एएसपीएल) से कर सकता है. जैसे, ज़्यादा रकम का पेमेंट या क्रेडेंशियल का रजिस्ट्रेशन. अगर कोई अपडेट इंस्टॉल होने के लिए तैयार है, तो डेवलपर और एंटरप्राइज़, उपयोगकर्ता से पहले डिवाइस को अपडेट करने के लिए कह सकते हैं. ज़्यादा बेहतर कंट्रोल के लिए, डेवलपर और एंटरप्राइज़ यह क्वेरी कर सकते हैं कि डिवाइस पर ज़्यादा जोखिम वाली कुछ खास कमज़ोरियों (CVE) को ठीक किया गया है या नहीं. जैसे, टैप करके पेमेंट करने या आस-पास के डिवाइसों से डेटा शेयर करने की अनुमति देने से पहले, यह पुष्टि करना कि NFC या Bluetooth से जुड़ी ज़रूरी समस्याएं ठीक कर दी गई हैं.

हाई-लेवल फ़्लो

ऐप्लिकेशन डेवलपर और एंटरप्राइज़ मैनेजमेंट के लिए

क्लाइंट ऐप्लिकेशन, androidx.security.state लाइब्रेरी का इस्तेमाल करके, कॉन्टेक्स्ट अवेयर ऐक्सेस से जुड़े फ़ैसले ले सकते हैं:

• सिंक्रोनस पोस्चर चेक (डीएसपीएल): ऐप्लिकेशन लॉन्च होने पर, ऐप्लिकेशन तुरंत सिस्टम, सिस्टम मॉड्यूल, और कर्नल के इंस्टॉल किए गए पैच लेवल की जांच कर सकते हैं. साथ ही, पीएसपीएल से तुलना करके यह पुष्टि कर सकते हैं कि डिवाइस, किसी संगठन की ज़रूरी सुरक्षा से जुड़ी बुनियादी शर्तों को पूरा करता है या नहीं. ऐसा, संवेदनशील कॉर्पोरेट संसाधनों या बायोमेट्रिक ऐक्सेस को अनलॉक करने से पहले किया जाता है.
• अपडेट के लिए सूचना देने की सुविधा (एएसपीएल): अगर किसी कर्मचारी के डिवाइस में पैच का नया वर्शन इंस्टॉल नहीं है, तो उसे तुरंत ब्लॉक करने के बजाय, एंटरप्राइज़ ऐप्लिकेशन एएसपीएल से यह क्वेरी कर सकते हैं कि क्या सिस्टम अपडेट या Google Play का सिस्टम अपडेट इंस्टॉल होने के लिए तैयार है. अगर ऐसा होता है, तो ऐप्लिकेशन में, उपयोगकर्ता को सिस्टम सेटिंग पर ले जाने के लिए, उसकी ज़रूरत के हिसाब से निर्देश दिखाए जा सकते हैं. इससे वह ऐप्लिकेशन को इंस्टॉल कर पाएगा.
• जोखिम की आशंका के लेवल की ऑडिटिंग (CVE): ज़्यादा भरोसेमंद इस्तेमाल के उदाहरणों के लिए, लाइब्रेरी में डिवाइस के हिसाब से जोखिम की आशंका की रिपोर्ट डाउनलोड करने की सुविधा मिलती है. ये रिपोर्ट, ओपन सोर्स सॉफ़्टवेयर में मौजूद जोखिमों (ओएसवी) से जुड़ी होती हैं. इससे प्रोग्राम के ज़रिए यह ऑडिट किया जा सकता है कि डिवाइस पर कुछ खास और ज़रूरी CVE ठीक किए गए हैं या नहीं.

ओईएम और अपडेट क्लाइंट के लिए: अपडेट की उपलब्धता को स्टैंडर्ड बनाना

साथ में काम करने वाली androidx.security.state.provider लाइब्रेरी, अपडेट क्लाइंट के लिए एक स्टैंडर्ड, Android IPC मेकेनिज़्म सेट अप करती है. इससे अपडेट क्लाइंट, डिवाइस पर अपडेट की उपलब्धता की जानकारी सीधे तौर पर दे पाते हैं. पहले, मालिकाना हक वाले ओटीए क्लाइंट, अपडेट उपलब्ध होने की जानकारी देते थे. हालांकि, यह जानकारी अलग-अलग होती थी और तीसरे पक्ष के ऐप्लिकेशन इसे क्वेरी नहीं कर सकते थे. आगे चलकर, ऐप्लिकेशन एक ही यूनीफ़ाइड एपीआई के ज़रिए, ASPL की जानकारी ऐक्सेस कर सकेंगे. इससे कोई फ़र्क़ नहीं पड़ेगा कि अपडेट, ओईएम के खास ओटीए क्लाइंट या Google Play के ज़रिए डिलीवर किया गया है. हालांकि, यह ज़रूरी है कि अपडेट क्लाइंट ने इसे उपलब्ध कराया हो.

• Google Play के सिस्टम अपडेट, GMS वाले Android डिवाइसों पर ASPL को पहले से ही उपलब्ध कराते हैं.
• Google Over-The-Air (GOTA) को भी शामिल कर लिया गया है. हम दुनिया भर के ओईएम के साथ काम कर रहे हैं, ताकि उनके ओटीए क्लाइंट को इस स्टैंडर्ड फ़्रेमवर्क में शामिल किया जा सके.

बुलेटिन-लेवल का डेटा शामिल करना

एसपीएल स्ट्रिंग के अलावा, Security State लाइब्रेरी से यह पता चलता है कि पैच लेवल का डिवाइस पर क्या असर पड़ता है. लाइब्रेरी, ओपन सोर्स वल्नरेबिलिटी (OSV) डेटाबेस के साथ इंटिग्रेट होकर, Android सुरक्षा बुलेटिन का डेटा हासिल कर सकती हैं. इससे, वे पहले से ज़्यादा गहराई से जांच कर सकती हैं. यह डेटा, लाइब्रेरी को डिवाइस की “असरदार” और विस्तृत सुरक्षा स्थिति बताने की अनुमति देता है. इसके अलावा, यह डेटा सिर्फ़ यह नहीं बताता कि कोई खास खतरा, जैसे कि CVE एंट्री ब्लॉक की गई है या नहीं.

इस तरीके से, एंटरप्राइज़ और Android ओईएम को इन दो तरीकों से फ़ायदा मिलता है:

• कभी-कभी, ऐसा होता है कि किसी कॉम्पोनेंट के लिए, हर महीने मिलने वाले सुरक्षा अपडेट में कोई नया खतरा शामिल नहीं होता. इस मामले में, लाइब्रेरी उस कॉम्पोनेंट के लिए सुरक्षा का स्तर अपने-आप बढ़ा देती हैं, ताकि उसकी "असरदार" सुरक्षा स्थिति दिख सके. इससे यह पक्का होता है कि किसी डिवाइस को सुरक्षा से जुड़े सभी ज्ञात खतरों से पूरी तरह सुरक्षित रखने का क्रेडिट सही तरीके से दिया गया है.
• Android 17 में एक नई सुविधा जोड़ी गई है. इसकी मदद से ओईएम, एसपीएल के ऊपर लागू किए गए सुरक्षा से जुड़े कुछ खास फ़िक्स के बारे में जानकारी दे सकते हैं. इसके लिए, उन्हें सप्लीमेंटल पैच वाली एक्सएमएल फ़ाइल का इस्तेमाल करना होगा. इस सुविधा की मदद से, ओईएम सुरक्षा से जुड़ी कुछ समस्याओं को ठीक करने के लिए, बैकपोर्टिंग का इस्तेमाल कर सकते हैं. इससे वे तुरंत यह साबित कर सकते हैं कि डिवाइस, ज़रूरी शर्तों का पालन करता है. इसके लिए, उन्हें पूरे मोनोलिथिक एसपीएल के अपडेट होने का इंतज़ार नहीं करना पड़ता. इससे यह पक्का होता है कि पैचिंग के लिए किए गए प्रयासों का सही क्रेडिट दिया गया है. सुरक्षा की स्थिति बताने वाली लाइब्रेरी, ऐप्लिकेशन और सेवाओं को यह विस्तृत जानकारी देती हैं. इससे यह पक्का होता है कि पैचिंग के लगातार किए जा रहे प्रयासों को लागू होते ही पहचान लिया जाए.

शुरू करें

सुरक्षा की स्थिति बताने वाली लाइब्रेरी, पूरे Android नेटवर्क को बेहतर बनाने के लिए बनाई गई हैं.

• ऐप्लिकेशन डेवलपर और एमडीएम: अपने उपयोगकर्ताओं को सुरक्षित रखने और रीयल-टाइम में पैच की स्थिति का आकलन करने के लिए, आधिकारिक डिवाइस की सुरक्षा की स्थिति के बारे में जानकारी देने वाली गाइड देखें.
• ओईएम और अपडेट क्लाइंट: AndroidX Security State Provider लाइब्रेरी का इस्तेमाल करके, अपने अपडेट क्लाइंट को ASPL के साथ इंटिग्रेट करें. पूरक पैच की XML फ़ाइलें पब्लिश करके, बैकपोर्ट किए गए पैच के लिए तुरंत क्रेडिट पाएं.
• रिलीज़ नोट: बदलावों की पूरी जानकारी और एपीआई सिग्नेचर के लिए, Security-State और Security-State-Provider लाइब्रेरी के लिए, AndroidX के आधिकारिक रिलीज़ नोट देखें.

आपके सुझाव/राय हमारे लिए बेहद अहम है! कृपया इन लाइब्रेरी को आज़माएं और हमें बताएं कि आपको ये कैसी लगीं. इसके अलावा, अगर आपको कोई समस्या आती है, तो सार्वजनिक Android Issue Tracker पर इसकी शिकायत करें.