Spiegazione delle autorizzazioni dell'app Android

Ogni app Android richiede autorizzazioni per raggiungere parti del tuo dispositivo, ma le schermate di richiesta raramente spiegano cosa consentono realmente a un'app di fare tali autorizzazioni. La carrellata seguente copre tutte le principali autorizzazioni Android, evidenzia quelle che effettivamente influiscono sulla tua privacy e ti fornisce alcune semplici regole per decidere cosa consentire.

Cosa sono i permessi Android?

Le autorizzazioni Android sono un meccanismo di sicurezza che controlla a cosa può accedere un'app sul tuo dispositivo. Quando installi o esegui un'app, questa potrebbe richiedere l'accesso a varie funzionalità hardware (fotocamera, microfono) o dati (contatti, posizione). Comprendere queste autorizzazioni è fondamentale per mantenere la tua privacy e sicurezza.

Categorie di autorizzazione

Android divide le autorizzazioni in due categorie principali:

Autorizzazioni normali (concesse automaticamente)

Queste autorizzazioni non rappresentano un rischio significativo per la privacy dell'utente e vengono concesse automaticamente:

• INTERNET: Accesso a Internet, quasi tutte le app ne hanno bisogno
• VIBRARE: Controlla il motore di vibrazione del dispositivo
• SET_SFONDO: Cambia lo sfondo del dispositivo
• WAKE_LOCK: Impedisce la sospensione del dispositivo
• ACCESSO_RETE_STATO: Controllare lo stato della connettività di rete
• BLUETOOTH: Connettersi ai dispositivi Bluetooth accoppiati

Autorizzazioni pericolose (richiedi l'approvazione dell'utente)

Queste autorizzazioni riguardano dati utente o funzionalità del dispositivo che potrebbero influire sulla privacy:

Quando essere sospettosi

Dovresti mettere in discussione una richiesta di autorizzazione quando non corrisponde alla funzione dell'app:

• 🚩 Un'app torcia che richiede l'accesso Contatti o sms
• 🚩 Una calcolatrice che richiede l'accesso Telecamera o Microfono
• 🚩 Un'app per sfondi che richiede l'accesso Telefono o Registro delle chiamate
• 🚩 Un gioco che richiede i permessi sms
• 🚩 Qualsiasi app che richiede TUTTE le autorizzazioni contemporaneamente

Come verificare le autorizzazioni di un APK prima dell'installazione

Se stai effettuando il sideload di un APK, dovresti verificarne le autorizzazioni prima dell'installazione:

1. Utilizza il nostro Strumento Informazioni APK per estrarre l'elenco completo dei permessi
2. Esamina ogni autorizzazione rispetto allo scopo dichiarato dell'app
3. Confronta i permessi con l'app ufficiale sul Play Store
4. Se qualcosa sembra sospetto, non installarlo

Autorizzazioni speciali: quelle che non vengono visualizzate al momento dell'installazione

Oltre alle autorizzazioni "normali" e "pericolose", Android ha un terzo livello chiamato autorizzazioni speciale o app. Queste sono le funzionalità più potenti sulla piattaforma, abbastanza potenti da consentire al sistema operativo di forzare un viaggio separato e deliberato nelle Impostazioni per abilitarle. Sono anche quelli più comunemente sfruttati dai malware. Se un'app trasferita lateralmente richiede uno di questi, fermati e chiedi perché.

• Servizio di accessibilità (BIND_ACCESSIBILITY_SERVICE: originariamente progettato per lettori di schermo e assistenza per disabilità fisiche). Un'app con questa autorizzazione può leggere tutto sullo schermo, vedere cosa digiti e persino toccare i pulsanti per tuo conto. Concedi solo alle app in cui la funzione è ovviamente correlata all'accessibilità (TalkBack, flussi di riempimento automatico dei gestori di password, app del dizionario di lettura dello schermo).
• Amministratore/proprietario del dispositivo: consente a un'app di bloccare il dispositivo, cancellare i dati, modificare la password e disattivare la fotocamera. Quasi nessuna app consumer ne ha bisogno. I client di gestione mobile aziendale (MDM) rappresentano un'eccezione legittima.
• Disegna su altre app (SYSTEM_ALERT_WINDOW: consente a un'app di dipingere su qualsiasi altra cosa sullo schermo). Utilizzato legittimamente dalle bolle di chat e dai traduttori overlay; abusato da malware tap-jacking che nasconde un pulsante "sì, svuota il mio account" sotto un falso overlay "richiedi il tuo premio".
• Accesso a tutti i file (MANAGE_EXTERNAL_STORAGE: ignora le protezioni dell'archiviazione con ambito su Android 11+ e consente all'app di vedere tutti i file nell'archivio condiviso). La maggior parte delle app dovrebbe invece utilizzare i selettori di foto/documenti standard.
• Ascoltatore di notifiche: consente a un'app di leggere tutte le notifiche sul dispositivo. Un'ottima funzionalità per le app dell'hub di produttività; uno strumento perfetto per il furto di credenziali in caso di abuso (le app bancarie pubblicano codici monouso nel flusso di notifiche).
• Installa app sconosciute: trasforma l'app host in un caricatore laterale. Impostalo sul browser o sul file manager solo quando hai effettivamente bisogno di installare un APK dall'esterno del Play Store, quindi disattivalo nuovamente.

Combinazioni di autorizzazioni a cui prestare attenzione

Le autorizzazioni individuali raccontano solo una parte della storia. Le combinazioni sono spesso più rivelatrici di ogni singola richiesta:

• Accessibilità + Ascoltatore di notifiche + SMS: questo è il classico trio bancario-trojan Android. Il trojan legge il contenuto sullo schermo, intercetta la notifica della password monouso della banca e può anche estrarre l'OTP dall'SMS stesso se l'utente lo riceve tramite SMS. Nessuna app consumer legittima combina tutti e tre.
• Fotocamera + Microfono + ALL_FILES_ACCESS + posizione in background: app di sorveglianza in stile adware che finge di essere una torcia, una calcolatrice o uno sfondo. Rifiuta e disinstalla.
• SYSTEM_ALERT_WINDOW + BIND_DEVICE_ADMIN: comportamento di classe ransomware. L'app può dipingere una schermata "il tuo telefono è bloccato, paga X" nella parte superiore del launcher e impedire all'utente di disabilitarlo.
• Telefono + Contatti + Registro chiamate per un'app che non sia un dialer, un'app per i contatti o uno strumento di registrazione delle chiamate: estrema cautela. Questa combinazione non ha alcun uso legittimo al di fuori del ristretto insieme di app che Google stessa fornisce in quelle categorie.

Un esempio di audit efficace

Supponiamo che tu abbia trovato un APK "torch" gratuito su un forum e lo abbia eseguito sul nostro Strumento Informazioni APK prima dell'installazione. Il manifest mostra le seguenti autorizzazioni richieste:

android.permission.CAMERA
android.permission.FLASHLIGHT
android.permission.INTERNET
android.permission.READ_CONTACTS
android.permission.READ_SMS
android.permission.RECEIVE_SMS
android.permission.READ_PHONE_STATE
android.permission.ACCESS_FINE_LOCATION
android.permission.SYSTEM_ALERT_WINDOW

È necessaria un'app per torcia al massimo l'autorizzazione della fotocamera (per accedere al LED attraverso il sottosistema della fotocamera), l'autorizzazione della torcia ed eventualmente l'autorizzazione Internet per gli annunci. Tutto ciò che è al di sotto di quella linea è ingiustificato. READ_SMS + READ_CONTACTS + RECEIVE_SMS + posizione + draw-over-apps è la firma di sorveglianza e furto OTP sopra descritta. Decisione: non installare. Elimina il file.

Esegui lo stesso tipo di controllo su ogni APK che carichi localmente. Cinque minuti con un revisore dei conti ti risparmiano problemi che nessuna app antivirus può risolvere a posteriori.

Come si comportano le autorizzazioni su diverse versioni di Android

Permission UX è stato rimodellato quasi ogni anno. La stessa funzionalità di base può sembrare molto diversa su Android 9 rispetto ad Android 15:

• Android 6 (2015): ha introdotto i permessi di runtime per il gruppo pericoloso. Le app non potevano più richiedere tutto al momento dell'installazione; dovevano chiedere quando utilizzavano la funzione.
• Android 10: autorizzazioni di posizione a tre stati (Consenti sempre / Consenti solo durante l'utilizzo / Nega). La posizione in background è diventata un'autorizzazione concessa separatamente.
• Androide 11: autorizzazioni una tantum (concessione per una singola sessione) e revoca automatica delle autorizzazioni per le app inutilizzate per diversi mesi.
• Androide 13: autorizzazione di notifica separata per le app appena installate; autorizzazioni multimediali granulari (READ_MEDIA_IMAGES, READ_MEDIA_VIDEO, READ_MEDIA_AUDIO in sostituzione della coperta READ_EXTERNAL_STORAGE).
• Androide 14: accesso parziale a foto/video, in modo che le app possano richiedere "solo queste foto" anziché l'intera libreria.
• Androide 15: controlli più severi sui servizi in primo piano; i tipi di servizio dichiarati devono corrispondere alle autorizzazioni di runtime effettivamente utilizzate.

Se utilizzi ancora una versione Android precedente, non ottieni le protezioni più recenti. Fai ancora più attenzione a ciò che installi.

Domande

Se nego un'autorizzazione, l'app smetterà di funzionare?

La maggior parte delle app si deteriora in modo graduale: il pulsante della fotocamera è disattivato, la funzione di rilevamento della posizione è disabilitata e il resto funziona ancora. Una piccola minoranza di app scritte male si blocca o si rifiuta di avviarsi, nel qual caso chiediti se hai davvero bisogno di un'app che richiede così tanto.

Perché a volte un'app richiede nuovamente un'autorizzazione?

O hai selezionato in precedenza "Solo questa volta" (una concessione una tantum) oppure l'autorizzazione è stata revocata perché non hai utilizzato l'app per un lungo periodo e Android l'ha revocata automaticamente. Entrambi i comportamenti sono protezioni intenzionali.

Posso vedere tutte le autorizzazioni dichiarate da un APK prima di installarlo?

SÌ. Rilascia l'APK nel nostro Strumento Informazioni APK e questo analizzerà AndroidManifest.xml nel tuo browser, decodificherà il formato XML binario ed elencherà ogni voce uses-permission dichiarata dall'app. Confronta l'elenco con quello che ti aspetteresti per la categoria dell'app prima di toccare "Installa".

Gestire le autorizzazioni sul tuo dispositivo

Come verificare le autorizzazioni dell'app

1. Vai a Impostazioni → App
2. Seleziona un'app
3. Tocca Autorizzazioni
4. Controlla e attiva le autorizzazioni secondo necessità

Come visualizzare tutte le app con un'autorizzazione specifica

1. Vai a Impostazioni → Privacy → Gestione autorizzazioni
2. Seleziona una categoria di autorizzazione (Fotocamera, Posizione, ecc.)
3. Visualizza tutte le app che hanno accesso a tale autorizzazione
4. Revoca l'accesso alle app che non ne hanno bisogno

Modifiche alle autorizzazioni di Android 13+

Le recenti versioni di Android hanno apportato miglioramenti significativi alla gestione delle autorizzazioni:

• Autorizzazioni multimediali granulari: Invece dell'accesso completo allo spazio di archiviazione, le app devono richiedere tipi di media specifici (foto, video, audio)
• Autorizzazione di notifica: Le app ora devono chiedere l'autorizzazione per inviare notifiche
• Revoca automatica: Le autorizzazioni vengono revocate automaticamente per le app che non utilizzi da mesi
• Posizione approssimativa: È possibile concedere una posizione approssimativa anziché precisa
• Autorizzazioni una tantum: Concedi telecamera/microfono/posizione solo per una sessione

Regole pratiche per il controllo dei permessi delle app

Le autorizzazioni sono il luogo in cui gran parte della tua privacy viene conquistata o persa, quindi vale la pena leggerle anziché accedervi. Metti in discussione tutto ciò che non corrisponde allo scopo dell'app ed esegui un APK tramite il nostro estrattore di informazioni APK prima di caricarlo localmente. Un'app ben costruita chiede ciò di cui ha bisogno per funzionare e poco altro.