AndroidX Security State показывает защиту устройства по отдельным компонентам

Почему одной даты недостаточно

Современный Android получает обновления по нескольким каналам. Операционная система, модульные компоненты и ядро не обязательно обновляются одновременно. Поэтому одна строка Security Patch Level не описывает все различия. Security State собирает сведения по компонентам, а Provider предназначен для производителей и клиентов обновления, которые сообщают о доступных пакетах. Инструмент предоставляет данные для решения приложения; он не устанавливает обновления сам и не является антивирусом. В анонсе перечислены потребительские приложения с чувствительными операциями и корпоративные средства управления устройствами.

Три состояния одного обновления

DSPL отражает реально установленный и работающий уровень, PSPL — опубликованный в официальных бюллетенях, ASPL — доступный для конкретного устройства. Различие принципиально: наличие нового бюллетеня не означает, что производитель уже подготовил соответствующую прошивку для каждой модели. Запрос локального состояния и сведения об ожидающем обновлении также имеют разную природу: доступность пакета получается через взаимодействие с клиентами обновления. Приложение должно учитывать отсутствие таких данных и не подменять его уверенным выводом о защищённости или уязвимости всего телефона.

DSPL запрашивается из свойств и конфигурации устройства без сетевого обращения. ASPL получается асинхронно через IPC к установленным клиентам обновлений. Разница в источнике означает и разную доступность результата: установленный уровень и сведения о предложенном пакете могут появляться независимо. PSPL берётся из опубликованных данных бюллетеней. В совокупности эти сведения описывают не одну шкалу с единственной датой, а отношения между известным исправлением, работающей системой и подготовленным для конкретного устройства обновлением.

Модульная система меняет интерпретацию результата

Системные модули могут обновляться через Google Play system updates, ядро оценивается с учётом ветки LTS и версии. Календарная дата не переносится напрямую на все эти сущности. Android Security Bulletins публикуют сведения об исправлениях, а не отчёт о состоянии каждого пользовательского устройства. В библиотеке эти уровни сопоставляются, позволяя разбирать отдельные компоненты. Например, политика корпоративного приложения может учитывать ожидающий установки пакет, вместо того чтобы одинаково трактовать старую прошивку без доступного исправления и устройство, где обновление уже загружено. Это пример использования, не предписание блокировать пользователей.

Границы программной оценки

Стабильный статус относится к версиям библиотек, объявленным 17 сентября. Он не гарантирует одинаковую полноту данных на всех телефонах и у всех OTA-клиентов. Подключение Provider зависит от участников экосистемы, а правила допуска к операциям определяет само приложение. Метаданные о патче не доказывают отсутствие всех уязвимостей: бюллетени описывают известные проблемы и уровни исправлений. Для пользователя важна понятная причина ограничения — какой компонент требует внимания и существует ли доступное действие. Для разработчика важны различение неизвестного состояния и отрицательного результата, обработка ошибок получения данных и соответствие решения фактической чувствительности операции.

Одинаковая версия Android не означает одинаковое состояние

Два телефона с одним номером системы могут отличаться набором установленных модулей и доступностью пакетов производителя. Поэтому результат проверки стоит связывать с компонентом и временем наблюдения. Сам библиотечный API не делает устройство доверенным навсегда: состояние может измениться после обновления, а сведения о новых исправлениях появляются независимо от жизненного цикла приложения.