Nebezpečná oprávnění Android, na kterou byste měli dávat pozor ve svých aplikacích

Od úrovně API 23 jsou následující oprávnění klasifikována jako ochrana_normální:

Oprávnění Android: Jak se mohu naučit, které jsou nebezpečné vs normální?

Android definuje sadu oprávnění, která mohou aplikace třetích stran požadovat. Oprávnění jsou kategorizována podle citlivosti; Většina povolení je buď „normální“ nebo „nebezpečná“. Normální oprávnění jsou poskytována automaticky, aniž by uživatelé vyzvali; Při instalaci aplikace jsou uživateli prezentována nebezpečná oprávnění a uživatel je požádán o souhlas s jejich udělením jejich udělení. Otázka: Pro jakékoli konkrétní povolení pro Android mám na mysli, jak mohu zjistit, zda se jedná o normální povolení nebo nebezpečné povolení? Existuje seznam nebezpečných oprávnění a seznam běžných oprávnění? (Vím, že aplikace třetích stran mohou vyhlásit svá vlastní povolení. Ptám se pouze na standardní oprávnění. Vím, že nemusí být možné získat 100%-complete list. Hledám pouze nejlepší úsilí; něco je lepší než nic.) Pro související, ale odlišnou otázku, viz také, kde mohu získat seznam oprávnění Androidu (to je však jiná otázka; to není v normálním vs. nebezpečném rozlišení a já nutně nepotřebuji úplný seznam).

1 1 1 stříbrný odznak
Dotaz 7. září 2011 v 19:51
3 395 7 7 Zlaté odznaky 45 45 Silver Badges 110 110 Bronzové odznaky

7 odpovědí 7

Pro větší jednoduchost je níže uvedený seznam běžných oprávnění převzatých z oficiálních dokumentů:

Od úrovně API 23 jsou následující oprávnění klasifikována jako ochrana_normální:

ACCESS_LOCATION_EXTRA_COMMANDS ACCESS_NETWORK_STATE ACCESS_NOTIFICATION_POLICY ACCESS_WIFI_STATE BLUETOOTH BLUETOOTH_ADMIN BROADCAST_STICKY CHANGE_NETWORK_STATE CHANGE_WIFI_MULTICAST_STATE CHANGE_WIFI_STATE DISABLE_KEYGUARD EXPAND_STATUS_BAR FLASHLIGHT GET_PACKAGE_SIZE INTERNET KILL_BACKGROUND_PROCESSES MODIFY_AUDIO_SETTINGS NFC READ_SYNC_SETTINGS READ_SYNC_STATS RECEIVE_BOOT_COMPLETED REORDER_TASKS REQUEST_INSTALL_PACKAGES SET_TIME_ZONE SET_WALLPAPER SET_WALLPAPER_HINTS TRANSMIT_IR USE_FINGERPRINT VIBRATE WAKE_LOCK WRITE_SYNC_SETTINGS SET_ALARM INSTALL_SHORTCUT UNINSTALL_SHORTCUT 
CALENDAR : READ_CALENDAR, WRITE_CALENDAR CAMERA : CAMERA CONTACTS : READ_CONTACTS, WRITE_CONTACTS, GET_ACCOUNTS LOCATION : ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION MICROPHONE : RECORD_AUDIO PHONE : READ_PHONE_STATE, CALL_PHONE, READ_CALL_LOG, WRITE_CALL_LOG, ADD_VOICEMAIL, USE_SIP, PROCESS_OUTGOING_CALLS SENSORS : BODY_SENSORS SMS : SEND_SMS, RECEIVE_SMS, READ_SMS, RECEIVE_WAP_PUSH , Reach_MMS Storage: read_external_storage, Write_external_storage 

Odpovězeno 7. října 2015 ve 12:40
4 426 3 3 Zlaté odznaky 52 52 Silver Badges 86 86 Bronzové odznaky

Normální oprávnění jsou poskytována automaticky, aniž by uživateli vyzvala

Afaik, dokumentace je zde špatná.

Při instalaci aplikace jsou uživateli prezentována nebezpečná oprávnění a uživatel je požádán o souhlas s jejich udělením jejich udělení

AFAIK, všechna oprávnění mají toto chování.

To, do čeho se to mohlo proměnit, je, že se vždy zobrazují nebezpečná oprávnění a normální oprávnění jsou taková, která by mohla být „pod záhybem“, pokud je dost nebezpečných.

Pro jakékoli konkrétní povolení Android mám na mysli, jak mohu zjistit, zda se jedná o normální povolení nebo nebezpečné povolení? Existuje seznam nebezpečných oprávnění a seznam běžných oprávnění?

6 851 3 3 Zlaté odznaky 49 49 Silver odznaky 79 79 Bronzové odznaky
Odpovězeno 7. září 2011 v 21:33
Commonsware Commonsware
987K 190 190 Zlaté odznaky 2391 2391 Silver odznaky 2496 2496 Bronzové odznaky
18. února 2015 v 16:58

přetečení zásobníku.com/otázky/32681513/… Myslím, že existuje jeden rozdíl, který by měl být vysvětlen ve výše uvedeném popisu. Nebezpečná oprávnění jsou udělována za běhu a představena na úrovni API 23

15. října 2015 v 13:22

Tato odpověď není tak uspokojivá; ale jen říká rozdíl mezi nimi; Tazatel chtěl seznam nebezpečných povolení, které věřím!

24. května 2016 v 15:06
@Djphy: Seznam nebezpečných oprávnění se mění při každém vydání Android.
24. května 2016 v 15:24

@Commonsware, podívej se na mě, jsem tak hloupý. Nemyslel jsem na to. Je to tak pravdivé; Díky za osvícení a líto!

24. května 2016 v 15:29

Zjistil jsem, že tento blogpost uvádí seznam „výchozí“ oprávnění podle úrovně ochrany. Myslím, že toto je druh seznamu, který jste hledali.

Seznam se však mezitím mohl změnit, protože příspěvek je starý 10 měsíců. Poskytuje ukázkový kód pro překompilaci seznamu sami.

odpověděl 24. srpna 2012 v 10:09
359 2 2 stříbrné odznaky 6 6 Bronzové odznaky

Z oprávnění Android bude udělena za běhu. Uživatelský souhlas není vyžadován pro normální oprávnění, ale pro nebezpečná oprávnění je vyžadován uživatel k udělení povolení k přihlášce.

Nebezpečná oprávnění: Nebezpečná oprávnění pokrývají oblasti, kde aplikace chce data nebo zdroje, které zahrnují soukromé informace uživatele HTTPS: // Developer.Android.com/průvodce/témata/zabezpečení/oprávnění.HTML#Normal-Dangerous

odpověděl 5. října 2015 ve 13:18
Singularity singularita
147 1 1 stříbrný odznak 11 11 Bronzové odznaky

Zde je dobrý článek, který popisuje všechny věci o oprávněních běhu ,

Android.povolení.Access_location_extra_Commands Android.povolení.Access_network_state Android.povolení.Access_Notification_policy Android.povolení.Access_wifi_state Android.povolení.Access_wimax_state Android.povolení.Bluetooth Android.povolení.Bluetooth_admin Android.povolení.Broadcast_Sticky Android.povolení.Změna_network_state Android.povolení.Změna_wifi_multicast_state Android.povolení.Změna_wifi_state Android.povolení.Změna_wimax_state Android.povolení.Disable_Keyguard Android.povolení.Expand_status_bar Android.povolení.Baterka Android.povolení.Get_accounts Android.povolení.Get_package_size Android.povolení.Internet Android.povolení.Kill_background_Processes Android.povolení.Modify_audio_settings Android.povolení.NFC Android.povolení.Read_sync_settings Android.povolení.Read_sync_stats Android.povolení.Přijmout_boot_Completed Android.povolení.Změnit_TASKS Android.povolení.Request_install_packages Android.povolení.Set_time_zone android.povolení.Set_wallpaper Android.povolení.Set_wallpaper_hints android.povolení.Předplata_feeds_read android.povolení.Přenos_ir Android.povolení.Use_fingerprint Android.povolení.Vibrujte Android.povolení.Wake_lock Android.povolení.Write_sync_settings com.Android.poplach.povolení.Set_alarm com.Android.spouštěč.povolení.Install_shortcut com.Android.spouštěč.povolení.UNINSTALL_SHORTCUT 

Zde zadejte popis obrázku

Nebezpečná oprávnění

Nebezpečná oprávnění Android, na kterou byste měli dávat pozor ve svých aplikacích

Android je přední mobilní operační systém na světě s více 70% Ze všech mobilních zařízení po celém světě běží Android od července 2021. Můžete si stáhnout téměř jakýkoli druh aplikace z obchodu Play, ale před instalací si vyberete pouze Akceptovat ke všem povolením? Většina lidí to dělá. Ale co přesně souhlasíte? Některá oprávnění mohou umožnit aplikaci a korporaci, která ji vytvořila, jít až do porušení vašeho soukromí. Abyste zabránili společnostem v tom, aby se k vašim soukromým datům dostali do přístupu k vašim soukromým datům, musíte nejprve pochopit, co je v sázce.

Kromě umožnění přístupu společnostem k vašim datům se aplikace s nebezpečnými oprávněními také používají k šíření malwaru, orchestrace špionážních kampaní a podvádění jednotlivců. V roce 2019 zákazníci několika českých bank nahlásili peníze neočekávaně chybějící na svých účtech. Vyšetřovatelé to nakonec vystopovali zpět k hackerům, kteří zaměstnávali škodlivé aplikace pro Android, aby překrývali vyskakovací okna oprávnění k oprávnění, aby provedli neoprávněné transakce na bankovní účty zákazníků.

Jaká jsou oprávnění Androidu?

Aplikace obvykle přichází s vestavěnými funkcemi pro svou práci. Stále však existuje řada oprávnění, která musí komunikovat s vámi a vaším zařízením. Například skenovací aplikace, která potřebuje přístup k fotoaparátu. Toto povolení je známé jako FOTOAPARÁT a je ve většině případů bezpečným povolením k udělení. Bylo by však sporné, aby aplikace kalkulačky požádala o toto povolení.

Dávejte pozor na aplikace Android, které požadují oprávnění k vašemu zařízení:

  • Zvuk
  • Umístění
  • Kontakty
  • Fotoaparát
  • Kalendář
  • Zprávy
  • Biometrie
  • Cloudové úložiště (přístup nebo přístup k zápisu)

Rozsah problému

Analýza Over 148 000 Aplikace indexované na prvním vyhledávači zabezpečení Bevigilu, ukázaly, že vzdělávací aplikace, které představují 7.94% naskenovaných aplikací, žádost o nebezpečná oprávnění více než kterákoli jiná kategorie aplikací. To se týká zejména toho, že tyto aplikace jsou primárně používány dětmi, které nemusí být schopny rozeznat důsledky těchto povolení.

Z povolení kategorizovaných jako nebezpečný, nejčastěji požadovaným Write_external_storage, s 64.45% z celkových aplikací, které o to požadují, následuje Read_external_storage, což bylo požadováno 50.67% aplikací.

Vystupovali jsme také Analýza povolení pro detekci malwaru Android (PAMD), což je metoda pro vyhodnocení úrovně zabezpečení aplikací Android na základě jejich oprávnění výpočtem vážených průměrů. Zjistili jsme to 1564 naskenované aplikaci součtu mělo skóre rizika > 0.5. Navíc jsme také zjistili, že herní aplikace pro děti vyžadovaly mnoho zbytečných oprávnění, jako je přístup k umístění, externí úložiště atd. Některé aplikace s vysokou Skóre rizika A vyžadování podivných oprávnění byla: Temple Jungle Prince Run, City Construction Trucks Sim a Fruit Link – line Blast jmenovat alespoň.

Některá nebezpečná oprávnění, na kterou je třeba dávat pozor!

„Umožňuje volající aplikaci pokračovat v konverzaci, která začala v jiné aplikaci.“

Toto oprávnění umožňuje volání směrovat do aplikace nebo služby, o které si nemusíte být vědomi. Pokud vás přepne na službu, která místo mobilního plánu využije příspěvek vašeho datu, může vás to stát peníze. Mohlo by to být také použito k zachycení diskusí v tajnosti.

„Umožňuje program na pozadí přístup k umístění uživatele.“

Při hledání tohoto privilegia musíte navíc požádat o přístup k hrubému umístění nebo přistupovat k jemnému umístění. Jednoduše požádání o toto povolení vám neposkytuje přístup k poloze. Toto povolení samo o sobě neumožňuje Googlu sledovat vás, jak tvrdí Google. I když věříte, že jste aplikaci zastavili a už to nesleduje vaši pozici, může vás stále sledovat.

„Umožňuje aplikaci číst data kalendáře uživatele.“

Aplikace by věděla, kde budete a kdy. Pokud si ve svých schůzkách uděláte poznámky, bude také vědět, proč jste tam. Přidejte informace o poloze a aplikace bude vědět, jak jste se tam také dostali.

  1. Read_external_storage/writing_external_storage

„Umožňuje programu přístup k externímu úložišti.“

Pokud udělíte oprávnění čtení_external_storage, může být přístupné jakékoli úložiště dat, které se připojuje k vašim zařízením, jako je karta microSD nebo dokonce notebook. Oprávnění čtení_external_storage je implicitně uvedeno, pokud poskytnete povolení Write_external_storage. Pomocí těchto oprávnění může aplikace libovolně číst/zapisovat data na libovolném místě na vašem zařízení.

Analýza populárních aplikací na bevigilu

Nyní, když jsme si uvědomili, jak nebezpečná je poskytování náhodných oprávnění, prozkoumejme, jak rozšířené jsou na herním kousku.

Analyzovali jsme populární aplikace na Bevigil: První vyhledávač zabezpečení na světě, A tady je to, co jsme našli.

Přední aplikace pro zasílání zpráv se stahováním 5b+:

Nebezpečné povolení: Request_install_packages

Dopad: S tímto svolením může aplikace požádat o instalaci externích balíčků, které mohou být škodlivé pro vaše zařízení.

Populární platformy sociálních médií s více než 5B+ stahováním:

Nebezpečná oprávnění: System_Alert_Window a Baterie_stats

Dopad: Baterie_stats Umožňuje aplikaci shromažďovat statistiky využití baterie z vašeho telefonu. Toto povolení je vysoce zbytečným povolením vyžadovat platforma sociálních médií.

Mobilní webový prohlížeč s více než 1B+ stahováním:

Nebezpečné povolení: get_accounts_priveleged a Write_Settings

Dopad: Get_accounts_priveleged což umožňuje přístup aplikace k seznamu účtů ve službě účtů a Write_Settings Umožňuje aplikaci číst nebo napsat nastavení systému.

E -mail s aplikací s 1B+ stahováním:

Nebezpečná oprávnění: Bind_device_admin a System_Alert_Window

Dopad: Tato aplikace požaduje Bind_device_admin povolení, které musí být vyžadováno přijímačem správy zařízení, aby se zajistilo, že s ním může interagovat pouze systém. V Androidu, překrytí obrazovky, často známé jako „Draw On Top“, umožňuje jedné aplikaci ukázat obsah nad jinou. To je k dispozici podle povolení k aplikaci Android System_Alert_Window. Vzhledem k jeho odkazům, aby se kleplili na útoky. A díky některým úprav Google mohou aplikace nyní získat toto povolení bez vědomí uživatele.

Použití Bevigilu k nalezení nebezpečných oprávnění

Pokud si někdy nejste jisti o povolení požadovaných aplikací, můžete použít Bevigil k zjištění závažnosti oprávnění a poté učinit informované rozhodnutí.

Bevigil Cloudsek je prvním vyhledávačem zabezpečení na světě, který pomáhá uživatelům aplikací, výzkumníky kybernetické bezpečnosti, vývojáři aplikací a organizace identifikovat zranitelnosti ve zdrojovém kódu, exponované/ pevně zakódované tajné klíče a oprávnění aplikace včas zmírňují rizika rizika.

Stačí postupovat podle těchto jednoduchých kroků a posoudit aplikaci:

Krok 1: Přejděte na https: // bevigil.com/hledat a zadejte název jakékoli aplikace, jejíž oprávnění jste zvědaví. Když začnete psát název na vyhledávacím panelu, rozbalovací nabídka zobrazí seznam možných výsledků.

Krok 2: Jakmile vyberete aplikaci, budete přesměrováni na bezpečnostní zprávu aplikace.

Krok 3: Vlevo uvidíte a souhrn panel, klikněte na Oprávnění Možnost pod O aplikaci.

Oprávnění vyžadovaná aplikace jsou barevně označena podle úrovně závažnosti. Napravo najdete sloupcový graf, který ukazuje počet oprávnění kategorizovaných podle jejich bezpečnostní úrovně.

Krok 4: Klikněte na jakékoli povolení, o které chcete najít více informací.

Také kliknutím na Další nastavení Tlačítko, pod vyhledávacím panelem, najdete mnoho užitečných filtrů, které vylepšují váš vyhledávací zážitek. Jeden z nich je Oprávnění filtr, s nímž můžete filtrovat aplikace podle konkrétních oprávnění.

Chraňte své zařízení i sebe

Ačkoli mnoho technologických společností začalo uznávat soukromí uživatelů, oprávnění Android zůstávají šedou oblastí. Tento článek zahrnoval pouze malou podskupinu stovek oprávnění, které moderní aplikace Android využívají. Většina uživatelů nechápe hluboké důsledky těchto oprávnění.

Jako uživatel je nejjednodušší způsob, jak chránit vaše zařízení a sebe před aplikacemi s těmito nebezpečnými oprávněními, je uvědomit si všechna oprávnění, která aplikace vyžaduje. Tímto způsobem přesně víte, na co jste před stažením aplikace. Zde je k dispozici seznam bezpečných a nebezpečných oprávnění.

Na Androidu existuje devět kategorií „nebezpečných“ oprávnění. Každá z těchto rizikových skupin povolení má několik oprávnění a přijetí jednoho povolení ve skupině automaticky automaticky povoluje všechna další práva v této skupině. Oni jsou:

  1. Senzory těla
  2. Kalendář
  3. Fotoaparát
  4. Kontakty
  5. Umístění GPS
  6. Mikrofon
  7. Povolání
  8. Psaní
  9. Úložný prostor

Kromě výše uvedených oprávnění obsahuje Android Oprávnění správce a kořenová oprávnění, Které jsou nejškodlivější kategorií aplikací pro oprávnění s přístupem správce zařízení, mohou změnit nastavení systému, upravit heslo vašeho zařízení, zamknout telefon nebo dokonce trvale smazat všechna data ze zařízení. Jakýkoli program s přístupem root může dělat, co chce, bez ohledu na to, která oprávnění jste dříve zakázali nebo povolili.

Samozřejmě budou existovat aplikace, které skutečně vyžadují, aby tato oprávnění správně fungovaly. Například je rozumné, aby aplikace fitness požádala Senzory těla oprávnění a pro aplikaci pro zasílání zpráv požádat o Kontakty povolení. Jako uživatel musíte posoudit oprávnění na základě funkčnosti aplikace, která je požaduje.

Reference

  1. https: // www.Inmobi.com/blog/2021/08/09/porozumění-a-android-users-World-World
  2. Giang, Pham & Duc, Nguyen & VI, Pham. (2015). Analýza povolení pro detekci malwaru Android.
  3. https: // www.AVG.com/en/signál/průvodce-android-app-permissions-how-to-use-them-fmartly
  4. https: // www.Online-tech-tips.com/smartphony/30-App-Permissions-to-Android
  5. https: // in.PCMag.Com/News/134176/Android-malware-Abuses-App-Permissions-Hijack-Pane