Android ha lanzado nuevas librerías de Estado de Seguridad que permiten a las aplicaciones y herramientas empresariales verificar si un dispositivo carece de parches de seguridad importantes. Esta actualización ofrece a los desarrolladores una visión más detallada que el nivel de parche mensual tradicional, facilitando la identificación de componentes del sistema sin actualizar, actualizaciones pendientes y correcciones de vulnerabilidades específicas.

Android ha lanzado nuevas librerías de Estado de Seguridad que permiten que las aplicaciones y las herramientas empresariales comprueben si a un dispositivo le faltan parches de seguridad importantes.

La actualización ofrece a los desarrolladores una vista más detallada de la seguridad de Android que el tradicional nivel de parche de seguridad mensual, ayudando a las aplicaciones a identificar componentes del sistema sin parchear, actualizaciones pendientes y correcciones de vulnerabilidades específicas.

El lanzamiento estable incluye AndroidX Security State versión 1.1.0 y Security State Provider versión 1.0.0. Estas librerías están diseñadas para aplicaciones de Android sensibles a la seguridad, incluyendo banca, fintech, salud, movilidad empresarial y plataformas de Gestión de Dispositivos Móviles (MDM).

Anteriormente, muchas aplicaciones dependían del nivel de parche de seguridad del dispositivo, que a menudo se muestra como una única fecha en los ajustes de Android. Sin embargo, los dispositivos Android ahora reciben actualizaciones de seguridad a través de varios canales.

Las aplicaciones de Android pueden detectar parches de seguridad faltantes

Las actualizaciones del sistema pueden llegar desde el fabricante del dispositivo, mientras que los componentes modulares de Android pueden actualizarse a través de las actualizaciones del sistema de Google Play. Las correcciones del núcleo (kernel) también pueden seguir versiones de lanzamiento de soporte a largo plazo (LTS) independientes.

Debido a este modelo de actualización fragmentado, una sola fecha de parche no siempre muestra la condición de seguridad completa de un dispositivo Android. Las nuevas API proporcionan a las aplicaciones información de parches a nivel de componente en lugar de depender de una única fecha de seguridad general.

Android Security State utiliza tres tipos de niveles de parche. El Nivel de Parche de Seguridad del Dispositivo muestra la versión del parche instalada actualmente en el teléfono.

El Nivel de Parche de Seguridad Publicado muestra el último nivel de parche publicado en el Boletín de Seguridad de Android. El Nivel de Parche de Seguridad Disponible identifica las actualizaciones que ya están disponibles para descargar o instalar en ese dispositivo específico.

Estas comprobaciones se aplican al sistema Android, a los módulos del sistema y al núcleo de Linux. El sistema incluye el sistema operativo Android principal entregado a través de las actualizaciones estándar inalámbricas (OTA) del fabricante.

Los módulos del sistema cubren los componentes modulares actualizados a través de las actualizaciones del sistema de Google Play bajo el Proyecto Mainline. El estado del núcleo se mide a través de versiones de kernel de soporte a largo plazo, como la 5.15.159 o la 6.1.91, en lugar de una fecha de parche mensual.

Esta nueva capacidad podría mejorar la forma en que las aplicaciones de Android gestionan acciones de alto riesgo. Por ejemplo, una aplicación bancaria puede comprobar si hay una actualización crítica pendiente antes de permitir una transacción de alto valor.

Una aplicación empresarial puede verificar si un teléfono gestionado por la empresa cumple con su línea base de seguridad requerida antes de conceder acceso a los servicios internos.

Si una actualización ya está preparada y lista para instalarse, la aplicación puede guiarte a los Ajustes de Android en lugar de bloquear el acceso inmediatamente.

Tú, como desarrollador, también puedes usar las librerías para comprobaciones de vulnerabilidades específicas. Esto podría permitir que una aplicación determine si se han corregido vulnerabilidades importantes que afectan al NFC, Bluetooth u otras funciones del dispositivo.

Una aplicación de pago sin contacto podría comprobar si existen los parches de seguridad de NFC pertinentes antes de permitir un pago. Al mismo tiempo, una herramienta empresarial podría evaluar las correcciones de Bluetooth antes de permitir el intercambio de datos basado en la proximidad.

Las librerías de Security State también se conectan con los datos del Boletín de Seguridad de Android a través de la base de datos de Vulnerabilidades de Código Abierto. Esto permite evaluaciones de parches más precisas, incluyendo casos donde una actualización mensual no contiene una nueva corrección para un componente particular. En tales casos, el componente aún puede ser reconocido como efectivamente protegido.

Android 17 también introduce el soporte para XML de Parches Suplementarios. Esto permite que los fabricantes de dispositivos declaren correcciones de seguridad que fueron adaptadas (backported) antes de que se emita una actualización completa del Nivel de Parche de Seguridad mensual.

Las nuevas librerías pueden exponer esas correcciones a las aplicaciones y plataformas de gestión, permitiendo que los fabricantes (OEM) reciban el reconocimiento por las remediaciones de seguridad de forma inmediata.

Para los proveedores de actualizaciones, la librería Security State Provider establece un método estándar para que los clientes OTA informen sobre las actualizaciones disponibles a través del marco de comunicación entre procesos de Android.

Las actualizaciones del sistema de Google Play ya soportan este modelo en los dispositivos Android con Servicios Móviles de Google. Al mismo tiempo, Google también ha integrado su plataforma OTA. Android está trabajando con fabricantes globales para incorporar sus clientes de actualización en el mismo marco.

El lanzamiento ofrece a los desarrolladores y a las empresas una forma práctica de detectar parches faltantes, identificar correcciones pendientes y tomar decisiones de seguridad basadas en el estado de protección real de los componentes individuales de un dispositivo Android.

Fuentes:
https://cybersecuritynews.com/android-apps-check-security-patches/