Информация о версии в ресурсах AVB

Чтобы поддерживать привязку версии KeyMint (ранее Keymaster), загрузчик устройства должен предоставлять операционной системе (ОС) версию и уровень исправлений безопасности для каждого раздела. Версия ОС и уровень исправлений безопасности – это две разные пары "ключ-значение" в свойствах AVB. Пример:

  • com.android.build.system.os_version -> '12'
  • com.android.build.system.security_patch -> '2022-02-05'
  • com.android.build.vendor.os_version -> '12'
  • com.android.build.vendor.security_patch -> '2022-02-05'
  • com.android.build.boot.os_version -> '12'
  • com.android.build.boot.security_patch -> '2022-02-05'

Загрузчик устройства может получить эти свойства AVB из образа vbmeta с помощью команды avb_property_lookup(). Несколько образов vbmeta можно загрузить с помощью команды avb_slot_verify() и сохранить в выходном параметре AvbSlotVerifyData** out_data.

Формат информации о версии по умолчанию

По умолчанию система сборки Android использует следующий формат для версии ОС и исправления системы безопасности соответственно.

Формат com.android.build.${partition}.os_version – A[.B.C], например 12 или 12.0.0:

  • А – основная версия.
  • B – номер промежуточной версии (если он отсутствует, по умолчанию используется 0);
  • C – дополнительная промежуточная версия. Если она не указана, по умолчанию используется ноль.

Формат com.android.build.${partition}.security_patch – ГГГГ-ММ-ДД.

По умолчанию система сборки генерирует com.android.build.${partition}.security_patch для разделов system, system_ext и product. Производитель устройства должен установить BOOT_SECURITY_PATCH, VENDOR_SECURITY_PATCH и другие исправления для разделов, не относящихся к системе. Пример:

  • BOOT_SECURITY_PATCH := 2022-01-05 создает
    • com.android.build.boot.security_patch -> '2022-01-05'
  • VENDOR_SECURITY_PATCH := 2022-02-05 создает
    • com.android.build.vendor.security_patch -> '2022-02-05'

Производитель устройства может задать для *_SECURITY_PATCH значение $(PLATFORM_SECURITY_PATCH), если всегда обновляет все разделы до версии с одинаковым уровнем исправлений безопасности.

  • BOOT_SECURITY_PATCH := $(PLATFORM_SECURITY_PATCH)
  • VENDOR_SECURITY_PATCH := $(PLATFORM_SECURITY_PATCH)

Указать информацию о версии

В Android 13 и более поздних версиях для каждой сборки устройства можно задать специальное значение версии ОС, которое будет распознаваться загрузчиком устройства. Пример:

  • SYSTEM_OS_VERSION := 12.0.0 создает
    • com.android.build.system.os_version -> '12.0.0'
  • BOOT_OS_VERSION := a.b.c создает
    • com.android.build.boot.os_version -> 'a.b.c'
  • VENDOR_OS_VERSION := 12.0.1 создает
    • com.android.build.vendor.os_version -> '12.0.1'

Устаревшая информация о версии в заголовке загрузочного образа.

В Android 9 и более поздних версий привязка версии Keymaster 4 предлагает удалить os_version из заголовка boot.img.

Для сравнения здесь также описано устаревшее использование для получения информации о версии из заголовка загрузочного образа. Обратите внимание, что поле os_version в заголовке загрузки объединяет версию ОС и уровень исправления системы безопасности в 32-разрядное целое число без знака. Кроме того, этот механизм предполагает, что все изображения будут обновляться одновременно, что устарело после модульности разделов в Project Treble.

// Operating system version and security patch level.
// For version "A.B.C" and patch level "Y-M-D":
//   (7 bits for each of A, B, C; 7 bits for (Y-2000), 4 bits for M)
//   A = os_version[31:25]
//   B = os_version[24:18]
//   C = os_version[17:11]
//   Y = 2000 + os_version[10:4]
//   M = os-version[3:0]

uint32_t os_version;