新聞

Android裝置的不同系統元件可透過不同機制取得安全更新，因此企業若只查看裝置顯示的安全性修補程式等級（Security Patch Level，SPL），不一定能完整掌握各元件的修補情況。Google近期推出AndroidX旗下Security State及Security State Provider程式庫的穩定版本，讓應用程式能進一步掌握裝置的修補狀態。

Security State可分別掌握Android系統、系統模組及核心的安全修補狀態，並比較裝置相關元件目前安裝的安全性修補程式等級，與Android安全公告針對這些元件公布的修補等級，藉此判斷相關元件是否缺少安全修補，甚至可進一步確認裝置是否已修補特定CVE。

這項能力也讓企業能依據裝置的安全修補狀態管控資料存取，例如先檢查裝置各元件的修補情況，再決定是否允許使用者存取敏感資料。對銀行等安全要求較高的應用情境，則可在進行付款等敏感操作前，進一步確認裝置是否已修補重要漏洞。

不過，Security State能否掌握裝置目前可安裝的安全更新，仍取決於裝置上的更新用戶端是否提供相關資訊。Security State Provider則提供標準化機制，讓OTA用戶端等更新機制提供裝置可取得的安全更新資訊。目前Google Play系統更新已支援這項功能，Google也正與裝置製造商合作，讓更多裝置支援這項能力。