Az Android alkalmazás engedélyei csak egyszerűsítettek - most sokkal kevésbé biztonságosak
A Google hatalmas változást hozott az alkalmazás engedélyeinek Android-on történő használatának módjában. Az eszközön már meglévő alkalmazások már automatikus frissítésekkel veszélyes engedélyeket kaphatnak. A jövőbeli alkalmazások veszélyes jogosultságokat szerezhetnek anélkül, hogy megkérdeznék.
Mindez a legújabb Play Store frissítésnek és az egyszerűsített alkalmazásengedélyezési felületnek köszönhető. Az alapötlet - az Android-alkalmazások engedélyeinek megértése a normál felhasználók számára - jó. A megvalósítás a nagy probléma.
Az alkalmazások most hozzáadhatnak engedélyeket anélkül, hogy megkérdeznék
A Google Play most az alkalmazások jogosultságait a kapcsolódó jogosultságok csoportjaira csoportosítja. Például egy olyan alkalmazásnak, amely beolvassa a bejövő SMS-üzeneteket, az „SMS-üzenetek olvasása” engedély szükséges. Amikor a Play Store-on keresztül telepíti azt, az „SMS” engedélyező csoportot kéri.
Telepítse az alkalmazást, és hozzáférést biztosít az összes SMS-hez kapcsolódó engedélyhez. Az alkalmazás most automatikusan frissít és képes megkapni az SMS-ek küldését anélkül, hogy megkérdezné.
Rendelkezik-e az eszközön olyan alkalmazások, amelyekkel megbízhat az SMS-ek olvasására, de nem küldheti el őket? Ezek az alkalmazások most már képesek SMS-üzenetek küldésére anélkül, hogy rákérdeznének - minden fejlesztőnek frissítenie kell az alkalmazást.
Az egyetlen módja annak, hogy megakadályozzuk ezt, az automatikus frissítések letiltása és az alkalmazás engedélyek kézi ellenőrzése minden alkalommal, amikor egy alkalmazás frissíteni akar - mintha ez egy ésszerű megoldás! Ha ezt teszi, akkor az alkalmazások elavult verzióit is használhatja, ami egy másik biztonsági probléma.
Az engedélycsoportok biztonságos és veszélyes engedélyeket tartalmaznak
A nagy probléma az, hogy a csoportok tartalmazhatnak mind normál, mind pedig alapvető engedélyeket, valamint veszélyesebb engedélyeket. Például:
- Elhelyezkedés: Egy hozzávetőleges, hálózati alapú helyet kérő alkalmazás most már engedélyt nyerhet a pontos GPS-eszközzel történő helymeghatározáshoz.
- SMS: Egy olyan alkalmazás, amely csak szöveges üzenetek fogadására van szüksége, most már engedélyt kap az SMS üzenetek küldésére a háttérben, ami potenciálisan pénzbe kerül.
- Telefon: Egy olyan alkalmazás, amely megkéri, hogy olvassa el a hívásnaplóját, most már engedélyt kaphat a kimenő hívások átirányítására és telefonhívások kezdeményezésére anélkül, hogy megkérdezné.
- Képek / Média / Files: Egy olyan alkalmazás, amelyiknek el kell olvasnia az USB-tároló vagy az SD-kártya tartalmát, most formázhatja a teljes külső tárolóeszközt.
- Kamera / Mikrofon: Egy olyan alkalmazás, amely engedélyezi a képek és videók készítését (például egy fényképezőgép-alkalmazás), most már megszerzi az engedélyt a hang rögzítésére. Az alkalmazás meghallgathat, ha más alkalmazásokat használ, vagy ha a készülék képernyője ki van kapcsolva.
Felkérik, hogy erősítse meg, ha egy alkalmazás új jogosultsági csoportot igényel. Ha már megadta a hozzáférést egy csoport egyetlen engedélyéhez, az összes fogadás ki van kapcsolva, és az alkalmazás megkapja az adott csoport összes engedélyét.
Nagy mennyiségű Android-alkalmazás már több engedélyt kér, mint amennyire szüksége van, és most ezeknek az alkalmazásoknak még több jogosultságot kaptak, amire nincs szükségük!
Minden alkalmazás internet-hozzáférést kap
A Google minden egyes alkalmazáshoz hozzáférést adott, és hatékonyan eltávolította az internet-hozzáférési engedélyt. Ó, persze, az Android fejlesztőknek még mindig be kell jelenteniük, hogy internet-hozzáférést akarnak az alkalmazás összeállításakor. A felhasználók azonban nem láthatják az internet-hozzáférési engedélyt, amikor olyan alkalmazást és aktuális alkalmazásokat telepítenek, amelyeknek nincs internet-hozzáférése az internet-hozzáférést automatikus frissítéssel, anélkül, hogy rákérdeznének.
Persze, a legtöbb alkalmazásnak internet-hozzáférésre van szüksége ezekben a napokban, de nem mindegyikük. Előfordulhat, hogy élő háttérképet, zseblámpát vagy billentyűzet-alkalmazást szeretne használni anélkül, hogy internet-hozzáférést biztosítana. Valójában az Apple iOS 8-ban a harmadik féltől származó billentyűzetek egyik biztonsági funkciója az, hogy ezek a billentyűzetek nem férhetnek hozzá az internethez, hacsak kifejezetten nem engedik meg őket. Az Android összes billentyűzete most elérheti az internetet.
Az Android-alkalmazások engedélyei megszakadtak, egyébként
Az Android alkalmazás engedélyezési rendszere már megtört. Kevésbé engedélyezési rendszer, és inkább egy keresleti rendszer. Egy alkalmazás megköveteli, hogy bizonyos funkciókat igényeljen, és el tudja vinni vagy hagyhatja. Nem választhat, hogy egy alkalmazáshoz engedélyeket szeretne-e adni, de nem másokat. Az Android valójában beépített jogosultságkezelővel volt dolgozva, de a Google eltávolította. Most csak az emberek, akik gyökerezik az eszközöket és használják az Xposed keretet az App Ops szolgáltatás visszaszerzéséhez, vagy egyéni ROM-ok telepítéséhez, mint a CyanogenMod, kezelhetik az alkalmazás engedélyeit. A tipikus Android felhasználók erőteljesen maradnak.
Az Android alkalmazás engedélyezési rendszerének nagy része értelmetlen lett. Miért is zavarja a finomszemcsés engedélyezési rendszert, ahol a fejlesztőknek hozzáférést kell kérniük az internethez és az egyéni engedélyekhez, mint például az „SMS-ek olvasása”? A Google csak az Android alkalmazás engedélyeit teljesen visszavonhatja, és az alkalmazások helyett hozzáférést biztosíthatnak az engedélycsoportokhoz. Legalább nem hamis biztonságérzetet adnának nekünk!
Mindeközben az Apple iOS rendelkezik egy funkcionális engedélyezési rendszerrel, amely a felhasználók irányítását biztosítja.
Nem, ez nem egy támadás Androidon egy Apple fanboy-tól. Szeretem az Androidot, és használom Nexus 4-et okostelefonként, de hiszek a felhasználók hatalmának biztosításában. Az Android-felhasználóknak képesnek kell lenniük arra, hogy kiválaszthassák, hogy mely alkalmazások képesek SMS-üzeneteket küldeni, vagy hogy a kamera-alkalmazások hangot rögzíthetnek. Most már nem csak nem tudjuk vezérelni az egyéni ROM beágyazása vagy telepítése nélküli engedélyeket, az új engedélyezési rendszer még kevesebb energiát biztosít számunkra.
Köszönjük, hogy iamtubeman a Reddit-nél, hogy felfedezte ezt a fontos kérdést és tesztelte. A Google magyarázata az Android új, egyszerűsített alkalmazásjogosultságairól itt található.
