구글이 안드로이드 앱 개발자를 위한 새로운 보안 라이브러리(AndroidX Security State)를 안정 버전으로 공개했습니다. 이 라이브러리를 사용하면 기기 전체의 보안 패치 수준 하나만 보던 방식에서 벗어나, 안드로이드 운영체제·시스템 모듈·리눅스 커널 각각에 어떤 패치가 설치됐는지, 또 어떤 업데이트가 내려받기 가능한지 세밀하게 확인할 수 있습니다. 은행 앱이나 기업용 앱은 이 정보를 활용해 고위험 결제나 자격증명 등록 전에 패치 상태를 검증할 수 있으며, 특정 CVE(보안 취약점 식별 번호) 단위로 패치 여부도 확인할 수 있습니다. NFC나 블루투스 관련 치명적 취약점이 실제로 수정됐는지 앱이 직접 확인한 뒤 관련 기능을 활성화하는 식의 활용이 가능해집니다. 구글은 기기 제조사들도 이 표준화된 시스템에 합류할 수 있도록 협력 중이라고 밝혔습니다.
구글이 AndroidX Security State v1.1.0 및 Security State Provider v1.0.0 라이브러리를 안정 버전으로 출시했다. 단일 보안 패치 레벨 속성 대신 기기 구성 요소별 세분화된 패치 상태 조회가 가능해졌다.
기업·금융 앱이 결제·자격증명 등록 전 패치 상태를 검증할 수 있으며, NFC·블루투스 등 특정 CVE 패치 여부를 앱 레벨에서 직접 확인할 수 있다. 안드로이드 17부터는 제조사가 기기별 추가 수정 사항도 선언 가능하다.
구글 플레이 시스템 업데이트 등 모듈식 독립 업데이트 방식이 확산되면서, 단일 SPL(보안 패치 레벨) 속성만으로는 기기의 실제 보안 상태를 정확히 파악하기 어려워졌다.
개발자는 DSPL(현재 설치된 패치 레벨)·PSPL(공식 게시 패치 레벨)·ASPL(다운로드 가능한 패치 레벨) 세 단계로 구성 요소별 패치 상태를 조회하고, OSV 데이터베이스 연동을 통해 CVE 단위 감사를 수행할 수 있다.
보안 민감한 앱(금융·기업)을 개발하는 경우 Security State 라이브러리 도입을 검토해 사용자 기기의 패치 상태 기반 접근 제어를 강화할 수 있다. OTA 업데이트 클라이언트를 운영하는 제조사라면 Security State Provider 라이브러리를 통한 표준화된 업데이트 알림 제공도 고려할 만하다.
본문
새로운 AndroidX Security State 라이브러리는 안드로이드 기기의 보안 패치 상태를 더욱 세밀하게 파악할 수 있는 방법을 제공합니다. 안정 버전인 Security State v1.1.0과 Security State Provider v1.0.0 라이브러리를 통해 개발자는 개별 기기 구성 요소의 보안 상태를 확인하고, 특정 기기에서 보안 업데이트를 내려받아 설치할 준비가 됐는지 판단할 수 있습니다.
스마트폰 제조사 및 OTA(Over-The-Air, 무선 네트워크를 통한 소프트웨어 업데이트) 시스템을 개발하는 개발자를 위해, androidx.security.state.provider 라이브러리는 앱이 기기에 업데이트가 있는지 표준화된 방식으로 알 수 있도록 합니다.
세 단계의 보안 패치 정보
구글 엔지니어들은 다음과 같이 설명했습니다. "안드로이드가 구글 플레이 시스템 업데이트와 같은 모듈 방식을 통해 빠르고 독립적인 구성 요소 업데이트를 제공하도록 진화함에 따라, 단일 SPL(보안 패치 레벨) 빌드 속성에 의존하는 것은 기기의 실제 보안 상태를 파악하는 최선의 방법이 아닙니다."
대신 Security State 라이브러리를 사용하면 개발자는 기기 개별 구성 요소에 대해 세 가지 패치 레벨을 확인할 수 있습니다.
DSPL(Device Security Patch Level, 기기 보안 패치 레벨)은 현재 기기에 설치되어 실행 중인 패치를 나타냅니다. PSPL(Published Security Patch Level, 게시된 보안 패치 레벨)은 제조사가 Android Security Bulletin(안드로이드 보안 공지)에 공식적으로 게시한 최신 패치를 나타내며, ASPL(Available Security Patch Level, 사용 가능한 보안 패치 레벨)은 해당 기기에서 내려받아 설치할 수 있는 패치를 나타냅니다.
출처: Google
확인 대상은 핵심 안드로이드 운영체제, 구글 플레이 시스템 업데이트를 통해 갱신되는 시스템 모듈, 그리고 리눅스 커널입니다. 커널 보안 레벨은 월별 보안 패치 날짜 대신 5.15.159 또는 6.1.91과 같은 버전 번호를 사용합니다.
CVE 단위 보안 점검
이처럼 세분화된 정보는 보안에 민감한 앱이 특정 동작 허용 여부를 결정하는 데 도움이 됩니다. 예를 들어, 뱅킹 앱이나 기업용 앱은 고액 결제나 자격증명 등록을 허용하기 전에 설치된 패치와 사용 가능한 업데이트를 확인할 수 있습니다.
개발자는 또한 CVE(Common Vulnerabilities and Exposures, 공개 취약점 식별 번호)로 추적되는 특정 고위험 취약점이 패치됐는지 여부도 확인할 수 있습니다. 구글은 이를 통해 탭-투-페이(tap-to-pay)나 근거리 데이터 공유 같은 기능을 활성화하기 전에 중요한 NFC 또는 블루투스 수정 패치가 설치됐는지 검증하는 데 활용할 수 있다고 밝혔습니다.
이 라이브러리들은 안드로이드 보안 공지 데이터를 얻기 위해 OSV(Open Source Vulnerabilities, 오픈소스 취약점) 데이터베이스와 연동되며, CVE 단위 감사를 위해 기기별 취약점 보고서를 내려받을 수 있어 기기 보안 상태를 보다 상세하게 파악할 수 있습니다.
안드로이드 17은 또한 제조사가 기기에 명시된 보안 패치 레벨 이상으로 적용된 개별 보안 수정 사항을 선언할 수 있도록 허용하며, 여기에는 구형 소프트웨어에 역이식(backport)된 수정 사항도 포함됩니다.
구글 모바일 서비스(GMS)가 탑재된 안드로이드 기기에서는 구글 플레이 시스템 업데이트가 이미 ASPL 정보를 제공하고 있으며, GOTA(Google Over-The-Air)도 이 프레임워크를 채택했습니다. 구글은 기기 제조사들이 자사의 OTA 업데이트 클라이언트를 이 표준화된 시스템에 통합할 수 있도록 협력하고 있다고 밝혔습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
