Google hat die stabilen Versionen der Bibliotheken Security State v1.1.0 und Security State Provider v1.0.0 veröffentlicht. Diese neuen Werkzeuge ermöglichen es Android-Anwendungen, den Sicherheitsstatus eines Geräts wesentlich präziser als bisher zu erfassen.
Anstatt lediglich das globale Datum des Sicherheits-Patches (Security Patch Level, SPL) abzufragen, können Entwickler nun detaillierte Informationen über den Schutzstatus einzelner Systemkomponenten einholen.
Die Einführung dieser Bibliotheken markiert einen Übergang von einer groben Sicherheitsprüfung hin zu einer sogenannten Zero-Trust-Posture. Wie aus Berichten hervorgeht, ist das Ziel dieses Ansatzes, die Sicherheit auf Basis des tatsächlichen Zustands jeder einzelnen Komponente zu bewerten, anstatt sich auf ein pauschales Veröffentlichungsdatum zu verlassen, das keine Rückschlüsse auf die tatsächliche Behebung spezifischer Schwachstellen zulässt.
Präzise Risikobewertung für sensible Anwendungen
Ein zentraler Vorteil der neuen Bibliotheken liegt in der verbesserten Absicherung kritischer Transaktionen. So könnten beispielsweise Banking-Apps vor der Durchführung einer kontaktlosen Zahlung (Tap-to-Pay) prüfen, ob spezifische Schwachstellen (Common Vulnerabilities and Exposures, CVEs) in sicherheitsrelevanten Bereichen wie NFC oder Bluetooth behoben wurden. Bisher war eine solch granulare Abfrage nicht ohne Weiteres möglich, da das System lediglich ein allgemeines Patch-Datum lieferte.
Für die Bewertung des Sicherheitszustands führt Google drei verschiedene Patch-Level ein:
* DSPL (Device Security Patch Level): Der auf dem Gerät aktuell installierte Status.
* PSPL (Published Security Patch Level): Der von den Herstellern offiziell veröffentlichte Status.
* ASPL (Available Security Patch Level): Der Sicherheitsstatus, der für das jeweilige System, die Systemmodule und den Kernel verfügbar ist.
Da Millionen Deutsche täglich sensibles Online-Banking per Smartphone nutzen, ist die Überprüfung von Sicherheitslücken wichtiger denn je. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Android-Gerät sofort gegen Hacker absichern. Kostenloses PDF: 5 Schutzmaßnahmen für Android-Smartphones
Diese Differenzierung erlaubt es Unternehmen und Entwicklern, ein Echtzeit-Bild des Sicherheitsstatus eines Geräts zu erhalten. Dabei werden nicht nur installierte Fixes berücksichtigt, sondern auch ausstehende Updates identifiziert.
Integration von Kernel-Daten und externe Datenbanken
Die neuen Sicherheitsbibliotheken erweitern die Überprüfung zudem auf den System-Kernel. Hierbei erfolgt die Identifikation nicht über ein Datum, sondern über konkrete Versionsnummern, wie etwa 5.15.159 oder 6.1.91. Um eine fundierte Bewertung der Sicherheitslage zu gewährleisten, ist das System mit der OSV-Datenbank (Open Source Vulnerabilities) verknüpft, was ein umfassendes CVE-Auditing ermöglicht.
Einem Bericht zufolge sind zentrale Dienste wie Google Play System Updates und die GOTA-Infrastruktur bereits in das neue System integriert. Dies soll sicherstellen, dass Sicherheitsrelevante Informationen konsistent über verschiedene Update-Kanäle hinweg zur Verfügung stehen.
Wer sein Smartphone vor Malware und Datenverlust schützen möchte, sollte die Sicherheitseinstellungen nicht dem Zufall überlassen. Erfahren Sie in diesem Gratis-Report, wie Sie automatische Updates richtig nutzen und gefährliche Apps rechtzeitig erkennen. Gratis-Ratgeber: Android-Updates richtig installieren
Erweiterte Möglichkeiten mit Android 17
Zukünftige Entwicklungen im mobilen Betriebssystem sollen die Granularität weiter erhöhen. Mit Android 17 wird es Geräteherstellern (OEMs) ermöglicht, einzelne Fehlerbehebungen explizit zu deklarieren, selbst wenn das übergeordnete SPL-Datum des Geräts unverändert bleibt. Dies soll über sogenannte „Supplemental Patches XML“-Dateien realisiert werden. Damit können Hersteller belegen, dass kritische Lücken geschlossen wurden, auch wenn ein vollständiges System-Update noch nicht für das gesamte Gerät ausgerollt wurde.
Insbesondere Enterprise-Partner und OEMs profitieren laut Unternehmensangaben von dieser Transparenz, da sie den Sicherheitszustand ihrer Geräteflotten präziser bewerten und verwalten können. Die neuen Bibliotheken ersetzen damit die bisherige Praxis der groben Patch-Abfrage durch ein detailliertes technisches Protokoll des Systemzustands.