что значит защищенные приложения на андроиде

Android-приложения: советы по безопасности

Когда мы хотим установить программу в Windows, то чаще отправляемся на сайт разработчика. Мы скачиваем программу, запускаем «мастер установки», читаем лицензионное соглашение (да-да), следуем по шагам до самого конца. В любой момент можно нажать кнопку «Назад» или «Отмена».

Куда проще со смартфоном. Здесь все приложения удобно собраны в хранилище (Google Play Маркет для Android, App Store для iOS). Любое приложение можно установить одним щелчком. Но насколько это безопасно?

Люди хранят на смартфонах уйму данных: контакты, фотографии, важные документы, аудиозаписи и видеоролики, истории звонков и СМС. Люди общаются в мессенджерах и социальных сетях, читают почту, делают заказы в интернет-магазинах, проводят банковские платежи, прокладывают маршруты по городам и за их пределами. Современный мобильный телефон – многоводный источник полезной информации для злоумышленника. Владельцам смартфонов определенно есть что защищать.

iOS не способствует распространению вредоносного кода. Устанавливать приложения можно только из «фирменного» магазина App Store. Прежде чем туда попасть, каждое приложение проходит ручную проверку. В этой статье мы поговорим о мире Android – ярком, разнообразном и местами довольно диком.

Кажется, мы защищены?

Приложения не могут попасть в Google Play «с улицы». Помимо внушительного списка рекомендаций технического свойства и подробного описания «как опубликовать свой продукт», Google создала «Центр правил для разработчиков». На этом сайте можно видеть ограничения и гарантии безопасности данных пользователей. И это не только про вирусы и трояны.

И еще много разумных «нельзя». Нарушителям правил грозят предупреждения, удаление приложения из Google Play, удаление аккаунта. Каждое новое приложение перед публикацией проверяется, эта проверка обычно занимает до недели. Кроме того, на устройствах Android по умолчанию включен инструмент Google Play Защита. Он поможет уберечься от самых разных угроз, даже если вредоносный код появился не из Google Play, а из другого источника, например, вы пытаетесь установить его с какого-либо сайта в Интернете. Google Play Защита ежедневно сканирует 50 миллиардов приложений на более чем 2 миллиардах устройств.

Добавьте к этому сотни различных приложений (в том числе именитых производителей) для защиты смартфонов от вредоносного кода и прочих напастей, а также десятки рекомендаций в духе «как избежать проблем на вашем смартфоне».

Или не совсем защищены?

В январе 2020 года компания Bitdefender (специализируется на борьбе с вирусами и прочим вредоносным кодом, известна благодаря одноименной программе) обнаружила в Google Play 17 приложений, качавших из Интернета рекламу. Все эти приложения сразу после установки вели себя совершенно предсказуемо – выполняли заявленные функции. Игры, обои, менеджеры файлов, считыватели QR-кодов, часы. Хитрое приложение вело себя примерно до двух суток, не возбуждая подозрений, а затем принималось скачивать из Сети и показывать владельцам смартфонов рекламу – не только картинки, но и видеоролики.

Приложения путали следы и усложняли их «поимку». Например, программа могла удалить свой значок, а промежутки между рекламными баннерами сделать случайными. Увидеть в этом какую-то систему и связать безобразия с недавней установкой «вот этой симпатичной игры» владельцу смартфона становилось непросто. Суммарное число скачиваний таких приложений составило около 550 тысяч. Эксперты сообщили о «находке» Google, и компания удалила приложения из Google Play. (См. также статью Daily Mail об этом инциденте.)

Команда CyberNews, в свою очередь, заинтересовалась приложениями, которые позволяют пользователям «улучшать» свои селфи: делаете обычный снимок, а приложение добавляет пышности вашим волосам, отбеливает зубы и придает глазам изумительный голубой оттенок, о котором вы всегда мечтали. По утверждениям CyberNews, даже лидеры в этом классе не гнушаются собирать данные о пользователях и отсылать их назад, в Китай, для продажи.

В октябре 2019 года интернет-издание The Bell опубликовало любопытное исследование: только 11 из 100 наиболее популярных приложений в российском Google Play ни с кем не делятся собранными пользовательскими данными. Остальные пересылают эти данные по многочисленным каналам, в том числе не зашифрованным (читай: в открытом виде). Приложения напичканы трекерами, отслеживающими действия пользователя (например, его местонахождение), и запрашивают изрядное количество разрешений. Публикация The Bell иллюстрирует аппетиты Android-приложений, которые могут привести к вторжению в частную жизнь пользователей.

Трудно представить более простое и нетребовательное приложение, чем фонарик. Компания Avast, известный производитель антивирусов, проанализировала 937 (!) приложений фонариков, которые в разное время публиковались в Google Play. Оказалось, что 262 таких приложения требовали свыше 50 разрешений. В частности, 180 фонарикам зачем-то понадобился доступ к списку контактов на смартфоне, а 77 фонариков хотели записывать звук.

Так ли нужен фонарику доступ к контактам, местоположению и файлам на смартфоне? Скриншот из Google Play.

Наконец, Android-устройство и его владелец могут стать жертвами вредоносного кода помимо Google Play. С такой историей можно познакомиться в материале компании Group-IB об Android-трояне Fanta. Этот вредонос нацелен на клиентов популярного в России интернет-магазина Avito. Приложение ворует деньги, используя приемы социальной инженерии, фишинговые страницы. Фактически пользователь сам открывает Fanta доступ к своему устройству.

Выходит, передача пользовательских данных или запрос разрешений – зло? Необязательно. Информация может передаваться в обезличенном виде, а разрешения – быть необходимыми для работы приложения. Каждый случай следует рассматривать индивидуально.

Почему возникают проблемы

Главная причина – человеческий фактор. Умная, самообучаемая, регулярно обновляемая антивирусная программа бессильна, если пользователь сам отключает защиту, например, подчиняясь фейковому «системному требованию».

Есть и фактор доверия. Google повторяет, что тщательно следит за безопасностью приложений Google Play, а приложение «Защита» включено и работает. У пользователя может возникнуть (не всегда оправданное) чувство защищенности: «Google уже позаботился о безопасности. Вперёд!». Как видно из приведенных выше примеров, жизнь бывает сложнее.

В тех организациях, где корпоративная безопасность что-то да значит, смартфоны нередко «проваливаются» между пунктами действующих политик безопасности. Люди покупают их за собственные деньги, стало быть, устройство не корпоративное, да и проконтролировать выполнение правил политики безопасности на чужом смартфоне бывает непросто.

Наконец, усилия «безопасников» часто сфокусированы на защите от вредоносного кода и фишинга. При этом стайка неприятностей пролетает «ниже радара». Таковы, например, fleeceware – приложения, которые пытаются (иногда за весьма приличные деньги) продать вам то, что у конкурентов можно получить за символическую плату или просто так. (Слово происходит от английского fleece, что в глагольной форме означает «стричь шерсть»). Например, вы установили себе чудесный планировщик семейного бюджета. Приложение на старте запросило данные банковской карты, чтобы «подтвердить регистрацию и оформить бесплатный семидневный тестовый период». Не отменили подписку до конца недели? Жадный планировщик снимет с вас 150 долларов «ежемесячной платы». Многие пользователи просто удаляют приложение и считают, что на этом все. Действительно, разработчик обычно воспринимает удаление как недвусмысленный отказ от пользования продуктом. Но есть и такие, кто использует формальность: удаление приложения не останавливает действие «подписки», а поэтому можно брать деньги, даже если приложение фактически удалено. Fleeceware не вирус и не троян, программы для отлавливания вредоносного кода пользователю не помогут. Эксперты компании Sophos провели собственное расследование, которое подтвердило: некоторые fleeceware по-прежнему доступны в Google Play.

Классический представитель fleeceware: три дня тестового периода, а потом 70 долларов еженедельно за «предсказания судьбы». Скриншот из Google Play.

Разрешения опасные и не очень

На какие разрешения стоит обратить внимание в первую очередь?

Вы можете просмотреть общий список разрешений в настройках Android. На странице каждого приложения в Google Play есть пункт «Разрешения»: пролистайте страницу вниз, в разделе «Дополнительная информация» найдите «Разрешения» и нажмите ссылку «Подробнее…».

Google предлагает инструкцию о том, как управлять разрешениями.

Еще два обстоятельства.

Источник

«Защищенные приложения» на телефонах Huawei и способы их устранения

У меня есть Huawei P8 с Android 5.0, который я использую для тестирования приложения. Приложение должно работать в фоновом режиме, поскольку оно отслеживает регионы BLE.

Я обнаружил, что Huawei построил «функцию» под названием «Защищенные приложения», доступ к которой возможен из настроек телефона (Battery Manager> Protected Apps). Это позволяет избранным приложениям продолжать работу после выключения экрана.

Разумеется, для Huawei, но, к сожалению, для меня это похоже на то, что он отключен, т.е. приложения отключены по умолчанию, и вам нужно вручную их вставить. Это не демонстрация, так как я могу советовать пользователям в FAQ или распечатать Документацию об исправлении, но я недавно установил Tinder (для исследовательских целей!) И заметил, что он был помещен в защищенный список автоматически.

Кто-нибудь знает, как я могу это сделать для своего приложения? Является ли это установкой в ​​манифесте? Это то, что Huawei позволило Tinder, потому что это популярное приложение?

В манифесте нет настройки, и Huawei включил Tinder, потому что это популярное приложение. Невозможно узнать, защищены ли приложения.

В любом случае я использовал «ifHuaweiAlert ()» в «onCreate», чтобы показать AlertDialog:

Я использую решение @Aiuspaktyn, в котором отсутствует часть того, как определить, когда stop показывает диалог после того, как пользователь установил приложение как защищенное. Я использую службу, чтобы проверить, было ли приложение прекращено или нет, проверяя, существует ли он.

Источник

Защита Android приложений от взлома

В данной статье мы кратко расскажем о том, как можно защитить свою программу от взлома, не интегрируя стандартное решение от Google и предоставим пример рабочего кода. Интересно? Просим под кат!

В чём слабость Google Application Licensing?

Дело в том, что данный механизм хорошо известен разработчикам и его взлом не составляет большого труда. Всё что для этого нужно — скачать apktool, найти класс LicenseChecker и слегка подправить метод checkAccess.

Как реализовать свою собственную защиту?

Очевидно, что любую защиту можно сломать. Данный метод не является серебрянной пулей, но он имеет право на жизнь. Для проверки уникальности приложения есть смысл проверить сертификат, которым это приложение было подписано. Информацию о сертификате можно прочитать из PackageInfo:

Нулевой элемент массива будет содержать необходимую информацию о ключе, которым было подписано приложение. Сохраните сам ключ, он вам понадобится совсем скоро.
Логично, что делать такую проверку в Java не имеет смысла, так как аналогичный приём с использованием apktool похоронит вашу защиту за несколько минут. Поэтому данную проверку стоит перенести на нейтив уровень.

Что делать дальше?

Необходимо вынести часть своего функционала в ту же библиотеку и перед тем как вернуть значение проверить сертификат на подлинность. И не забываем про фантазию, которая необходима для того, чтобы сбить с толку потенциального хакера. Допустим, вы определили, что данная копия приложения — не подлинная. Нет смысла явно говорить об этом, намного веселее добавить случайный элемент в действия программы. К примеру, если у вас игра, то можно добавить силы соперникам или сделать игрока более уязвимым. Также можно добавить случайные падения, к примеру в 10% случаев (справедливое замечание от хабраюзераzagayevskiy: случайные падения испортят карму вашей программы. ). Тут всё зависит только от вас.

Вот простой пример возможной реализации:

Для начала пишем класс, который делает вызов библиотеки для получения некоторых данных.

Метод init нужен для того, чтобы не вызывать проверку подлинности сертификата каждый раз.

Реализация нейтив методов:

Данный вариант защиты также может быть взломан путём дизасемблирования, но для этого нужен совсем другой уровень знаний и намного больше времени, чем в случае с реализацией защиты на уровне Java. При наличии определённых средств есть смыл приобрести обфускатор для С кода, в этом случае взлом будет далеко не тривиальной задачей.

Защита приложения при наличии серверной части.

Если часть логики приложения реализована на сервере, есть смысл вынести проверку подлинности сертификата на сервер. Как вариант, можно использовать такой алгоритм действий:

Надеемся, данный механизм поможет читателям Хабра повысить заработок со своих Android приложений.

Источник

Опасные разрешения для приложений на Android: как избежать риска

При установке и первом запуске приложения, как правило, запрашивают разрешение на доступ к самым разным функциям и данным: к SMS, списку контактов, календарю, другим компонентам устройства. Как понять, какие из них нужны программе для работы, а какие — излишни и вполне могут быть уловкой мошенников? Давайте разбираться.

Некоторые сомнительные приложения будут обнаруживаться на вашем Android-смартфоне автоматически, если вы воспользуетесь хотя бы бесплатной антивирусной программой.

Безопаснее всего приложения от крупных известных компаний, таких, например, как Google, МТС, «Яндекс» и др. — они вряд ли будут рисковать репутацией и подсовывать потребителю сомнительный продукт.

С приложениями же от небольших и неизвестных поставщиков нужно быть настороже и очень хорошо подумать, прежде чем разрешить, к примеру, игре доступ к вашим SMS. Исходя из обычной логики, для работы ей такая информация совсем не нужна и потребность в ней выглядит подозрительно.

Попробуем разобраться, какие разрешения и для чего бывают необходимы Android-приложениям.

Разрешение на отправку, приём и просмотр текстовых и мультимедийных сообщений.

Риски: Приложение сможет подписать вас на платную рассылку или услугу, отправлять спам и читать переписку, в том числе сообщения из финансовых учреждений с разовыми кодами для подтверждения входа в интернет-банк или транзакций.

Рекомендации: Доступ к сообщениям обоснованно запрашивают клиенты соцсети, мессенджеры и другие приложения, в которых требуется подтверждение права доступа через SMS. Если по логике работы программы не понятно, зачем ей нужна возможность читать сообщения, постарайтесь выяснить это в открытых источниках. Если убедительной информации на данный счет найти не удастся, от установки такого приложения лучше отказаться.

Камера

Разрешение на работу с камерой, позволяющее делать фотоснимки и записывать видео.

Риски: Приложение сможет снимать фото и записывать видеоролики без предупреждения и согласия пользователя.

Рекомендации: Подумайте, действительно ли приложению нужен доступ к фото- и видеосъёмке. Это так, если вы пытаетесь установить клиента соцсети (например, «Инстаграм»), где выкладка фото — обычное явление. Аналогично со списком покупок, в котором можно фотографировать продукты в супермаркете. Но если это игра вроде «5 в ряд», запрос на работу с камерой выглядит подозрительно.

Чтобы обезопасить себя, загружайте приложения только из проверенного источника — в Android это официальный магазин контента Google Play. Даже если окажетесь на сайте разработчика ПО, поищите ссылку именно на магазин, а не скачивайте напрямую — уже одно это существенно снизит риски.

Контакты

Разрешение на чтение адресной книги, изменение и добавление контактов.

Риски: Приложение сможет свободно читать содержимое вашей адресной книги и отправлять его на сторонние серверы. Помимо безобидных программ подобной информацией интересуются приложения, которые собирают базы данных для рассылки спама.

Рекомендации: Доступ к контактам оправдан, если программа предусматривает обмен информацией с контактами из вашего списка — например, как у клиентов соцсетей и мессенджеров. Неочевидная потребность в таком разрешении должна заставить вас сомневаться.

Календарь

Разрешение на просмотр событий календаря, редактирование и создание новых событий.

Риски: Если вы пользуетесь инструментами планирования, приложение получит доступ к прошедшим и будущим мероприятиям, в которых вы принимаете участие, а также может случайно удалить из календаря важную встречу.

Рекомендации: Внимательно присмотритесь к функциональности приложения. Если оно связано с инструментами планирования (например, приложение для составления списка желаний к праздникам или облачный сервис для управления проектами типа Trello), доступ к календарю можно разрешить. Но странно, если о таких правах просит, например, фонарик или диктофон.

Телефон

Разрешение на сканирование журнала вызова.

Риски: Некоторые вредоносные программы используют это разрешение для кражи журналов вызовов, в которых часто содержится дополнительная информация об абонентах: место работы, должность, адрес. Также приложение с таким доступом может записывать разговоры и перехватывать финансовую информацию — в некоторых банках голосовые роботы диктуют коды подтверждения для транзакций.

Рекомендации: Проанализируйте, какие сведения из телефонной книги могут на самом деле потребоваться приложению, изучите отзывы других пользователей перед установкой. Запрашивать доступ к телефону по веской причине могут мессенджеры, банковские приложения и те, в которых перед использованием необходимо проходить идентификацию.

Если не давать разрешений, которые вызывают у вас сомнения, приложение может работать некорректно или вообще отказаться это делать. В таких случаях нужно расставить приоритеты: вам важнее установить конкретную программу или обезопасить свои данные? Попытайтесь найти альтернативу в том же Google Play — возможно, другое, похожее приложение запросит меньше разрешений.

Системные инструменты

Разрешение на запуск программы при загрузке, изменение состояния подключения к сети и предотвращение перехода в режим ожидания.

Риски: Приложение может в фоновом режиме и без участия пользователя запускать вредоносный код.

Рекомендации: Изучите возможности приложения перед установкой, а также воспользуйтесь сертифицированным мобильным ПО для безопасности, которое блокирует вредоносные программы.

Память

Разрешение на изменение или удаление содержимого карты памяти.

Риски: Приложение получает право читать, записывать, перезаписывать и удалять информацию на карте, чем пользуются похитители данных.

Рекомендации: Убедитесь, что приложение связано с созданием или изменением данных и эту функцию можно логично объяснить (как, например, в случае с графическими редакторами). Проверьте, не запрашивает ли приложение другие, необязательные на первый взгляд разрешения. Если их много, это повод задуматься и изучить репутацию разработчика.

Местоположение

Разрешение на доступ к данным о геолокации устройства на основе информации о базовых станциях сотовой сети, точках доступа а также GPS и ГЛОНАСС.

Риски: Эти сведения приложения могут использовать для совершения реальных преступлений — например, физического преследования. Также разрешение позволяет отправлять пользователю спам или вредоносные программы с учётом его региона.

Рекомендации: Подумайте, насколько обоснованно приложение будет получать сведения о вашем местонахождении. Это оправданно для картографических сервисов, навигационных приложений и клиентов торговых сетей, у которых в зависимости от региона отличаются условия доставки и графики работы магазинов. Будильнику и калькулятору такая информация совсем не нужна.

Микрофон

Разрешение на запись звука с микрофона.

Риски: Приложение сможет записывать все звуки рядом с мобильным устройством, включая разговоры по телефону.

Рекомендации: Разрешайте работу с микрофоном тем программам, в которых поддерживается голосовая связь: мессенджерам и клиентам соцсетей, а также играм, где предполагается голосовое общение в чате.

Нательные датчики

Доступ к данным от датчиков состояния здоровья — чаще всего пульсометру.

Риски: Приложение сможет отслеживать изменения здоровья пользователя.

Рекомендации: Узнайте больше о разработчиках, уточните, связаны ли они с медициной. Страховые компании используют подобные приложения, чтобы оценивать стоимость страховки. Также доступ к датчикам может быть у сервисов, работающих с фитнес-браслетами.

Где посмотреть разрешения для уже установленных Android-приложений

Если вы давно пользуетесь смартфоном, но ранее не задумывались о том, на что и каким программам дали права, просмотреть разрешения и отменить их можно в любой момент. Для этого войдите в «Настройки», найдите в них «Приложения» и перейдите в «Разрешения приложений».

Вы увидите список разрешений и узнаете, для каких приложений они одобрены. Например, в пункте «Камера» перечислены все приложения, которые имеют к ней доступ.

Открывайте приложение, если хотите изменить статус его разрешений по каждому отдельному компоненту:

В любой момент разрешение можно отозвать — ровно до тех пор, пока оно не понадобится снова. В некоторых случаях программа без разрешения не запустится, в других могут перестать работать отдельные функции. Скажем, картографическое приложение без доступа к вашему местоположению сможет показать вам карту, но подсказать, где вы и как вам добраться до нужного места — нет.

Некоторые сомнительные приложения будут обнаруживаться на вашем Android-смартфоне автоматически, если вы воспользуетесь хотя бы бесплатной антивирусной программой.

Источник

Разрешения приложений в Android 6 и выше

Объясняем, что значат те или иные разрешения приложений в Android 6 и выше — и стоит ли выдавать их приложениям.

Обновлено 28.09.2018: В Android 8 (Oreo) разрешения приложений устроены иначе, в том числе добавилась отдельная группа разрешений «Специальный доступ». Подробнее об этом читайте в посте «Разрешения приложений в Android 8».

В Android есть очень хороший защитный механизм — система разрешений для приложений. По сути, это набор действий, которые система разрешает приложению выполнять. Дело в том, что по умолчанию все приложения в Android работают в изолированной среде — так называемой «песочнице». И для того чтобы сделать что-либо с чем-то, так сказать, общественным, им надо получить разрешение.

Разрешения эти разделены на несколько категорий, но нас интересуют только две из них — «Обычные» и «Опасные». В группу «Обычные» входят такие вещи, как доступ в Интернет, создание ярлыков, подключение по Bluetooth и так далее. Эти разрешения выдаются приложениям без обязательного согласия пользователя, то есть система вас ни о чем не спрашивает.

А вот для того, чтобы получить одно из «опасных» разрешений, приложение обязательно должно спросить владельца устройства, согласен ли он его выдать. Чем же опасны «опасные» разрешения и стоит ли выдавать их приложениям? Давайте разберемся.

Опасные разрешения

В категорию «Опасные» входят девять групп разрешений, которые так или иначе связаны с безопасностью данных пользователя. В свою очередь, каждая из групп содержит несколько разрешений, которые может запрашивать приложение.

Если одно из разрешений в данной группе пользователь уже одобрил, все остальные разрешения из той же группы приложение получит автоматически — без нового запроса пользователю. Например, если приложение уже успело запросить и получить разрешение на чтение SMS, то впоследствии оно автоматически получит разрешение и на отправку SMS, и на прием MMS, и на все остальные разрешения из данной группы.

Календарь

Чем опасно: Если вы активно пользуетесь электронным ежедневником, то доступ к нему позволит узнать все о том, чем вы занимались в прошлом, занимаетесь сегодня и собираетесь заниматься в будущем, — настоящая находка для шпиона. Также какое-нибудь криво написанное приложение может нечаянно стереть важные встречи из календаря.

Камера

Чем опасно: Приложение сможет в любой момент сделать фото или записать видео, не предупреждая вас об этом.

Контакты

Чем опасно: Позволяет приложению заполучить всю вашу адресную книгу — этим данным будут очень рады спамеры и мошенники. Также разрешает доступ к списку всех учетных записей, с помощью которых вы входите в приложения на данном устройстве, — Google, «Яндекс», Facebook, «ВКонтакте» и так далее.

Местоположение

Чем опасно: Позволяет приложению следить за всеми вашими перемещениями. Например, жулики могут узнать, что вы уехали в отпуск, и попробовать наведаться к вам домой.

Микрофон

Чем опасно: Приложение сможет вести аудиозапись всего, что происходит рядом со смартфоном. Всех ваших разговоров. Не только по телефону.

Телефон

Чем опасно: Выдавая приложению разрешение данной группы, вы позволяете ему совершать практически любые действия, которые касаются голосовой связи. Приложение сможет узнать, когда и кому вы звонили. Или позвонить куда угодно за ваш счет, в том числе на «очень платные» номера.

Сенсоры

Чем опасно: Разрешает приложению следить за тем, что происходит с вашим телом, используя информацию от датчиков соответствующей категории, если они у вас есть и вы ими пользуетесь (встроенные в смартфон датчики движения не входят в эту категорию).

Чем опасно: Позволяет приложению получать и читать все ваши текстовые сообщения. А также отправлять SMS (разумеется, за ваш счет) — например, чтобы подписать вас на какую-нибудь платную «услугу».

Память

Чем опасно: Предоставляет приложению возможность читать, изменять и удалять любые ваши файлы, хранящиеся в памяти смартфона.

Как настроить разрешения приложений

Стоит внимательно относиться к запрашиваемым приложением разрешениям. Если игра или приложение для обработки фотографий запрашивают доступ к вашему текущему местоположению, это, скорее всего, ненормально — таким приложениям данная информация ни к чему. А вот навигационному приложению GPS действительно нужен — но, в свою очередь, совершенно незачем давать ему доступ к контактам или SMS, например.

В случае если права, которые запрашивает приложение, выглядят слишком подозрительно, лучше такое приложение вовсе не устанавливать. Или можно просто не разрешить ему доступ к тем функциям и данным, которыми вы не хотите делиться.

В Android версии 6 и новее приложения выводят запрос пользователю в тот момент, когда им требуется то или иное из «опасных» разрешений. Если вы не согласны разрешать приложению доступ, то вы можете просто нажать кнопку «Отклонить». Правда, в том случае, если приложение действительно нуждается в том или ином разрешении, могут возникнуть ошибки в его работе.

Запрос приложением разрешений на работу со звонками на устройстве Android 6.0.1

Кроме того, список выданных разрешений можно в любой момент проверить и изменить в настройках операционной системы. Чтобы это сделать, перейдите в Настройки —> Приложения.

Дальше есть два варианта. Во-первых, можно посмотреть все разрешения, выданные конкретному приложению: для этого нажмите на название интересующего вас приложения и выберите пункт Разрешения.

Во-вторых, можно посмотреть на полный список приложений, которые запрашивали или могут запросить одно из «опасных» разрешений. Например, узнать, какие приложения были бы не прочь запросить у вас доступ к контактам и каким он уже разрешен, а также запретить это тем из них, которым вы не доверяете. Для этого нажмите на шестеренку в правом верхнем углу и выберите пункт Разрешения приложений.

Таким образом, приложению, чтобы, например, отправить SMS, необходимо будет спросить у пользователя один раз разрешение, после чего пользователь сможет в любой момент отказать приложению в этом праве, просто передвинув кружок в настройках.

Особые права

Помимо разрешений, которые входят в категорию «Опасные», в Android есть еще несколько прав приложений, о которых стоит знать. Если какое-либо приложение запрашивает такие права, это повод как следует задуматься и проверить, не попался ли вам троянец.

Специальные возможности (Accessibility)

Наличие этих прав в приложении позволяет ему упростить использование приложения или устройства для пользователей с ограничениями, такими как слабое зрение или проблемы со слухом. Но в то же время система Android устроена таким образом, что тот же набор возможностей оказывается очень удобным инструментом для вредоносных приложений.

Обладая этими правами, троянцы могут перехватывать данные из других приложений, в том числе вводимый пользователем текст. Кроме того, используя эти возможности, зловреды могут даже покупать приложения в Google Play Store.

Приложение для работы с SMS по умолчанию

Многие троянцы пытаются стать приложением для работы с SMS по умолчанию, ведь это позволяет им не только читать SMS, но и скрывать их от пользователя, даже в современных версиях Android. Например, это может понадобиться троянцам для того, чтобы перехватывать одноразовые коды для подтверждения банковских транзакций.

Права на отображение своего окна поверх других приложений

Обладая этими правами, троянцы могут показывать свои фишинговые окна поверх других приложений, например мобильных банков или социальных сетей. Вам кажется, что вы вводите свои логин и пароль в окно настоящего приложения — а на самом деле это происходит в фальшивом окне, созданном троянцем, и данные учетной записи утекают к злоумышленникам.

Права администратора устройства

Обладая этими правами, приложение может среди прочего сменить пароль, заблокировать камеру или даже удалить все данные с устройства. Многие троянцы запрашивают эти права, так как приложение, которое является администратором устройства, гораздо сложнее удалить.

Примеры запроса приложением прав администратора

Права суперпользователя

Это самые опасные права. В штатном режиме получение приложением таких прав в Android не предусмотрено, но некоторые троянцы умеют сами получать права суперпользователя, эксплуатируя уязвимости в системе. Самое неприятное, что наличие у приложения прав суперпользователя обесценивает все остальные защитные механизмы: воспользовавшись этими правами, зловред может совершить любое действие в системе, вне зависимости от того, какие ему выданы разрешения.

Стоит отметить, что даже новая система работы с разрешениями, появившаяся в Android 6, не защищает от зловредов, она лишь предоставляет пользователю возможность предотвратить потерю данных или денег. Например, троянец Gugi настойчиво запрашивает у пользователя права на перекрытие других приложений, обосновывая это необходимостью работы с окнами. Получив же эти права, троянец блокирует работу устройства своим окном до тех пор, пока не получит все остальные необходимые ему права.

Заключение

Не всем приложениям стоит разрешать делать на смартфоне все, что они хотят. А некоторые разрешения лучше вообще не давать — благо Android 6 и новее это позволяет.

Тем не менее бывают такие приложения, которым действительно нужно очень много разных прав. Например, антивирусным программам, чтобы нормально работать, иметь возможность сканировать систему и проактивно защищать от угроз, требуется не только разрешение на доступ к файлам, но и еще много чего.

Однако слепо раздавать разрешения нельзя даже тем приложениям, которым вы доверяете. Просто перед тем, как дать эти разрешения, подумайте, действительно ли они нужны данному конкретному приложению.

Эту статью стоит открыть хотя бы ради иллюстрации. Кажется, это лучшая картинка вообще из всех, что мы делали: https://t.co/MGBp2oS4kg pic.twitter.com/X0zyEYhIM9

Такая бдительность, правда, не защищает от того, что какой-нибудь зловред получит права сам через уязвимости в системе. Поэтому важно не только правильно настроить разрешения для сравнительно «мирных» приложений, охотящихся за вашими личными данными, но и иметь средство для обнаружения гораздо более опасных «буйных» зловредов — не забудьте установить на ваше Android-устройство надежный антивирус.

Обновлено 28.09.2018: В Android 8 (Oreo) разрешения приложений устроены иначе, в том числе добавилась отдельная группа разрешений «Специальный доступ». Подробнее об этом читайте в посте «Разрешения приложений в Android 8».

Источник