Tijekom konferencije za razvojne programere Google I/O 2019, Google je najavio Project Mainline - pokušaj ubrzanja sigurnosnih ažuriranja putem modula u Androidu Q.
Fragmentacija verzije Androida jedan je od najvećih izazova koje Google mora riješiti. Iako su pametni telefoni Google Pixel među najsigurnijim pametnim telefonima na tržištu zahvaljujući nevjerojatnim naporima Pixela i AOSP inženjeri, mnogi drugi pametni telefoni su ranjivi na iskorištavanje zbog pokretanja zastarjelih verzija OS-a ili zastarjele sigurnosne zakrpe razine. Najnovije izvješće Gartnera pokazuje da je Android 9 Pie još uvijek nevjerojatno siguran OS samo oko 10% svih pametnih telefona koji su u prodaji.
Google se rješava fragmentacije verzija inicijativama kao što su Projekt Treble, velika rearhitektura Androida koja je rezultirala odvajanjem komponenti okvira OS Android i HAL komponenti dobavljača, prošireni Linux kernel LTS
Projekt Mainline: Ažuriranje modula sustava Android Q putem Google Playa
Proteklih nekoliko mjeseci pratili smo nešto što se zove "VRH" u AOSP-u. APEX, odn Android Pony EXpress, nova je vrsta paketa koja je slična APK-u. Međutim, umjesto Android aplikacije, APEX je dom izvorne ili klase knjižnice, unaprijed kompilirani kod koji mogu pozvati Android aplikacije, slojevi apstrakcije hardvera (HAL) i Android Vrijeme izvođenja (ART). Poput APK-a, APEX paketi mogu se poslužiti korisnicima putem tradicionalnih metoda instalacije paketa u Androidu: Google Play Store/upravitelj paketa ili ADB.
APEX moduli mogu se koristiti puno ranije u procesu pokretanja nego moduli temeljeni na APK-u, a također su podržani dm-verity i Android Verified Boot za povećanu sigurnost. Montiranje slika nosivosti u paketu APEX zahtijeva upravljački program petlje Linux kernela, tako da uređaji trebaju verziju Linux kernela 4.9+. Za upravljanje APEX paketima potreban je novi APEX demon, uveden s Androidom Q. Iako je moguće da uređaji koji se nadograde na Android Q s Linux kernelom 4.4 podržavaju APEX (kao što je Google Pixel 3), proizvođači originalne opreme moraju spojiti dodatne zakrpe kako bi to funkcioniralo. Većinom će samo uređaji koji se pokreću s Androidom Q podržavati Project Mainline.
GNU/Linux distribucije već dugo mogu ažurirati komponente sustava neovisno o potpunim ažuriranjima sustava, ali Android je uvijek zahtijevao ažuriranje sustava za njihovo ažuriranje. Google je odlučio ne distribuirati ove pakete pomoću tradicionalnih Linuxovih sustava za upravljanje paketima kao što su dpkg i rpm jer oni ne štite pakete nakon instalacije pomoću dm-verityja.
Budući da proizvođačima uređaja treba dosta vremena za uvođenje ažuriranja, mnogi uređaji mogu imati zastarjele komponente sustava danima, tjednima ili čak mjesecima. Distribucijom ovih komponenti kao APEX paketa, Google može zaobići dugo čekanje da proizvođači originalne opreme uvedu ažuriranje sustava.
Međutim, Google ne vrši potpunu kontrolu nad svim komponentama sustava. Tvrtka je radila sa svojim OEM partnerima na odabiru skupa sistemskih aplikacija (kao APK-ovi) i komponenti sustava (kao APEX pakete) za modularizaciju kako bi mogli poboljšati sigurnost, privatnost i dosljednost za sve korisnike s uređajima koji se pokreću s Android Q. Iako Google nije točno otkrio kako su došli do početnog skupa komponenti sustava, oni jesu dao nam je popis komponenti sustava na uređajima koji se pokreću s Androidom Q koje će se moći ažurirati do Google:
- Sigurnost: Medijski kodeci, Komponente medijskog okvira, DNS razrješivač, Conscrypt
- Privatnost: korisničko sučelje dokumenata, kontroler dozvola, ExtServices
- Dosljednost: Podaci o vremenskoj zoni, ANGLE (odabir programera), metapodaci modula, mrežne komponente, prijava na Captive Portal, konfiguracija mrežnih dopuštenja
Trenutna ažuriranja za Conscrypt, Java sigurnosnu biblioteku i medijske komponente, koje su "zaslužile gotovo 40% nedavno zakrpanih ranjivosti", učinit će Android uređaje sigurnijima. Ažuriranja kontrolera dozvola poboljšat će privatnost. Standardiziranje podataka o vremenskoj zoni pomoći će da Android uređaji diljem svijeta ostanu na istoj stranici kad god neka zemlja odluči promijeniti svoju vremensku zonu. Nadalje, programeri igara imat će koristi od standardizacije KUT.
Google počinje s ovim komponentama sustava, ali bi ih mogao dodati u budućim izdanjima Androida. Od ovih 13 komponenti, Conscrypt, podaci vremenske zone, medijski kodeci i komponente medijskog okvira bit će isporučeni kao APEX paketi. Ostalih 9 komponenti su APK-ovi sustava. Dok se i APEX i APK-ovi mogu isporučiti putem Google Playa, ažuriranje APEX paketa zahtijevat će ponovno pokretanje. Google još nije podijelio tijek korisničkog sučelja kako će se to dogoditi, ali kada se uređaji počnu pokretati s Androidom Q, vjerojatno ćemo saznati više informacija o Project Mainline i APEX paketima.