În timpul conferinței pentru dezvoltatori Google I/O 2019, Google a anunțat Project Mainline - un efort de a accelera actualizările de securitate prin module din Android Q.
Fragmentarea versiunii Android este una dintre cele mai mari provocări pe care Google le poate rezolva. În timp ce smartphone-urile Google Pixel sunt printre cele mai sigure smartphone-uri de pe piață datorită eforturilor incredibile ale Pixel și Inginerii AOSP, multe alte smartphone-uri sunt vulnerabile la exploatare din cauza rulării versiunilor de SO învechite sau a corecțiilor de securitate învechite niveluri. Cel mai recent raport de la Gartner arată că Android 9 Pie este încă un sistem de operare incredibil de sigur doar aproximativ 10% dintre toate smartphone-urile sunt pe lansare.
Google abordează fragmentarea versiunilor cu inițiative precum
Linia principală a proiectului: Actualizarea modulelor sistemului Android Q prin Google Play
În ultimele câteva luni, am urmărit ceva numit „APEX" în AOSP. APEX, sau Android Pony EXpress, este un nou tip de pachet care este similar cu un APK. Cu toate acestea, în loc să găzduiască o aplicație Android, APEX găzduiește o bibliotecă nativă sau de clasă, cod precompilat care poate fi apelat de aplicațiile Android, Straturile de abstractizare hardware (HAL) și Android Timp de rulare (ART). La fel ca APK-ul, pachetele APEX pot fi oferite utilizatorilor prin metode tradiționale de instalare a pachetelor în Android: Magazinul Google Play/managerul de pachete sau ADB.
Modulele APEX pot fi utilizate mult mai devreme în procesul de pornire decât modulele bazate pe APK și sunt, de asemenea, susținute de dm-verity și Android Verified Boot pentru o securitate sporită. Montarea imaginilor de încărcare utilă în pachetul APEX necesită driverul buclei kernel-ului Linux, astfel încât dispozitivele au nevoie de versiunea kernel-ului Linux 4.9+. Gestionarea pachetelor APEX necesită noul daemon APEX, introdus cu Android Q. Deși este posibil ca dispozitivele care fac upgrade la Android Q cu Linux kernel 4.4 să accepte APEX (cum ar fi Google Pixel 3), OEM-urile trebuie să îmbine patch-uri suplimentare pentru ca acesta să funcționeze. În cea mai mare parte, numai dispozitivele care se lansează cu Android Q vor accepta Project Mainline.
Distribuțiile GNU/Linux au putut de mult să actualizeze componentele sistemului independent de actualizările complete ale sistemului, dar Android a cerut întotdeauna o actualizare de sistem pentru a le actualiza. Google a ales să nu distribuie aceste pachete folosind sisteme tradiționale de gestionare a pachetelor Linux, cum ar fi dpkg și rpm, deoarece nu protejează pachetele după instalare folosind dm-verity.
Deoarece este nevoie de mult timp pentru ca producătorii de dispozitive să lanseze actualizări, multe dispozitive pot avea componente de sistem învechite pentru zile, săptămâni sau chiar luni. Prin distribuirea acestor componente ca pachete APEX, Google poate ocoli așteptarea îndelungată pentru ca OEM-urile să lanseze o actualizare de sistem.
Cu toate acestea, Google nu exercită control total asupra tuturor componentelor sistemului. Compania a lucrat cu partenerii săi OEM pentru a selecta un set de aplicații de sistem (ca APK-uri) și componente de sistem (ca APEX pachete) să se moduleze astfel încât să poată îmbunătăți securitatea, confidențialitatea și coerența pentru toți utilizatorii cu dispozitive care se lansează cu Android Q. Deși Google nu a dezvăluit exact cum a venit cu setul inițial de componente ale sistemului, au făcut-o ne-a furnizat lista componentelor sistemului de pe dispozitivele care se lansează cu Android Q, care vor fi actualizate de către Google:
- Securitate: Codec-uri media, Componente cadru media, DNS Resolver, Conscrypt
- Confidențialitate: Documente UI, Permission Controller, ExtServices
- Consecvență: date fus orar, ANGLE (dezvoltatori opt-in), metadatele modulului, componentele de rețea, autentificarea portalului captiv, configurarea permisiunii de rețea
Actualizările imediate ale Conscrypt, biblioteca de securitate Java și componentele media, care „au reprezentat aproape 40% din vulnerabilitățile corectate recent”, vor face dispozitivele Android mai sigure. Actualizările pentru controlorul de permisiuni vor îmbunătăți confidențialitatea. Standardizarea datelor despre fusul orar va fi utilă pentru a menține dispozitivele Android din întreaga lume pe aceeași pagină ori de câte ori o țară decide să-și schimbe fusul orar. În plus, dezvoltatorii de jocuri vor beneficia de standardizarea UNGHI.
Google începe cu aceste componente de sistem, dar ar putea adăuga mai multe în viitoarele versiuni Android. Dintre aceste 13 componente, datele Conscrypt, Timezone, Media Codec-urile și Media Framework Components vor fi livrate ca pachete APEX. Celelalte 9 componente sunt APK-uri de sistem. În timp ce atât APEX, cât și APK-urile pot fi livrate prin Google Play, actualizarea unui pachet APEX va necesita o repornire. Google nu a împărtășit încă fluxul UI despre cum se va întâmpla acest lucru, dar odată ce dispozitivele vor începe să se lanseze cu Android Q, probabil vom afla mai multe informații despre pachetele Project Mainline și APEX.