Aplikace pro Android byla prostě jednodušší - nyní jsou mnohem méně bezpečné

Google právě provedl obrovskou změnu ve způsobu, jakým aplikace Android pracují s oprávněním aplikace. Aplikace, které jsou již ve vašem zařízení, nyní získají nebezpečné oprávnění s automatickými aktualizacemi. Budoucí aplikace mohou získat nebezpečné oprávnění, aniž by vás o to požádaly.

To vše díky nejnovější aktualizaci Obchodu Play a jeho zjednodušenému rozhraní pro povolení aplikace. Jde o základní myšlenku - díky tomu, že oprávnění k aplikacím pro Android jsou pro běžné uživatele srozumitelná - je dobrá. Implementace je velkým problémem.

Aplikace nyní mohou přidávat oprávnění bez požadavku na vás

Aplikace Google Play nyní seskupuje oprávnění aplikace do skupin souvisejících oprávnění. Například aplikace, která si přeje číst vaše příchozí zprávy SMS, bude vyžadovat oprávnění "Číst SMS zprávy". Když jej nainstalujete prostřednictvím Obchodu Play, uvidíte, že požadujete skupinu oprávnění "SMS".

Aplikace nainstalujte a dáváte mu přístup ke všem povolením týkajícím se SMS. Aplikace může nyní automaticky aktualizovat a získat schopnost odesílat zprávy SMS, aniž by vás požádala.

Máte aplikace ve vašem zařízení, kterým důvěřujete číst zprávy SMS, ale neposílat je? Tyto aplikace nyní mohou získat schopnost odesílat zprávy SMS bez toho, aby vás požádaly o to, aby vývojář musel provést aktualizaci aplikace.

Jediným způsobem, jak tomu zabránit, je zakázat automatické aktualizace a ověřit oprávnění aplikace ručně pokaždé, když aplikace chce aktualizovat - jako by to bylo rozumné řešení! Pokud tak učiníte, skončíte také pomocí zastaralých verzí aplikací, což je další problém s bezpečností.

Skupiny oprávnění obsahují jak bezpečné, tak nebezpečné oprávnění

Velkým problémem je, že skupiny mohou obsahovat jak normální, tak základní oprávnění, stejně jako nebezpečnější oprávnění. Například:

• Umístění: Aplikace, která žádá o přibližné umístění v síti, nyní může získat oprávnění ke sledování přesné polohy pomocí GPS zařízení.
• SMS: Aplikace, která potřebuje pouze přijímat textové zprávy, nyní může získat povolení odesílat SMS zprávy na pozadí, které by vám mohly stát peníze.
• Telefon: Aplikace, která vás požádá o čtení vašeho protokolu volání, nyní získá povolení k přesměrování odchozích hovorů a uskutečnění telefonních hovorů, aniž by vás požádala.
• Fotografie / Média / Soubory: Aplikace, která potřebuje číst obsah vašeho úložiště USB nebo karty SD, nyní může naformátovat celé externí úložné zařízení.
• Fotoaparát / mikrofon: Aplikace, která má oprávnění k pořizování snímků a videí (například aplikace fotoaparátu), může nyní získat oprávnění k nahrávání zvuku. Aplikace vás může poslouchat, když používáte jiné aplikace nebo když je obrazovka vašeho zařízení vypnutá.

Zobrazí se výzva k potvrzení, kdy aplikace vyžaduje novou skupinu oprávnění. Pokud jste již udělili přístup k jednomu oprávnění ze skupiny, všechny sázky jsou vypnuté a aplikace může získat všechna oprávnění v této skupině.

Obrovské množství aplikací pro systém Android již požádalo o další oprávnění, než potřebují, a nyní jim byly uděleny ještě další oprávnění, která nepotřebují!

Každá aplikace získá přístup k Internetu

Společnost Google také dala každé aplikaci přístup k internetu a účinně odstranila oprávnění k přístupu na internet. Jistě, vývojáři Androidu ještě musí prohlásit, že chtějí přístup k internetu při sestavování aplikace. Uživatelé však již při instalaci aplikace nevidí oprávnění k přístupu na Internet a aplikace, které nemají přístup k Internetu, nyní mohou získat přístup k internetu s automatickou aktualizací, aniž by vás vyzvali.

Jistě, většina aplikací potřebuje přístup k internetu v těchto dnech, ale ne všechny. Možná budete chtít používat živou tapetu, baterku nebo klávesnici bez přístupu k internetu. Ve skutečnosti je jedním z bezpečnostních prvků pro klávesnice třetích stran v systému iOS 8 společnosti Apple, že tyto klávesnice nemají přístup k internetu, pokud jim to výslovně neumožníte. Všechny klávesnice systému Android nyní mohou přistupovat k Internetu.

Oprávnění pro aplikace Android byly přerušeny

Aplikační systém systému Android byl již přerušený. Je to méně systém povolení a více poptávkového systému. Aplikace vyžaduje, aby vyžadovala určité funkce a můžete ji vzít nebo ji nechat. Nemůžete si vybrat, zda chcete aplikaci přidělit nějaká oprávnění, ale nikoli ostatní. Android vlastně měl vestavěný správce oprávnění, na kterém se pracovalo, ale společnost Google jej odstranila. Nyní mohou spravovat oprávnění aplikace pouze lidé, kteří kořenují své zařízení a používají Xposed Framework pro obnovení funkce App Ops nebo pro instalaci vlastních ROM jako CyanogenMod. Typické uživatele Androidu zůstávají bezmocní.

Většina systému Android pro povolování aplikací byla právě zbavena smyslu. Proč se dokonce obtěžuje mít jemně zrnitý systém oprávnění, v němž musí vývojáři požadovat přístup k internetu a individuálním oprávněním, například "číst SMS zprávy"? Společnost Google by mohla zcela obnovit oprávnění aplikace pro Android a nechat aplikace žádat o přístup ke skupinám oprávnění. Aspoň by nám nedali falešný pocit bezpečí!

A všechnu dobu, systém iOS společnosti Apple má funkční systém oprávnění, který uživateli poskytuje kontrolu.

Ne, toto není útok na Android od fanouška Apple. Mám rád Android a používám Nexus 4 jako smartphone, ale věřím, že dávám uživatelům moc. Uživatelé Androidu by měli mít možnost zvolit, které aplikace mohou odesílat zprávy SMS nebo zda aplikace fotoaparátu mohou nahrávat zvuk. Nyní nejenže nemůžeme řídit oprávnění bez zakořenění nebo instalace vlastní ROM, nový systém oprávnění nám dává ještě menší sílu.

Díky iamtubemanovi na Redditu prozkoumání této důležité otázky a testování. Vysvětlení Google o nových zjednodušených oprávněních aplikací pro Android naleznete zde.