Wyjaśnienie uprawnień aplikacji na Androida

Każda aplikacja na Androida prosi o uprawnienia dostępu do części urządzenia, ale ekrany żądań rzadko wyjaśniają, co tak naprawdę pozwalają aplikacji te uprawnienia. Poniższe zestawienie obejmuje wszystkie główne uprawnienia Androida, wskazuje kilka, które faktycznie wpływają na Twoją prywatność, i podaje kilka prostych zasad podejmowania decyzji, na co zezwolić.

Jakie są uprawnienia Androida?

Uprawnienia Androida to mechanizm bezpieczeństwa kontrolujący dostęp aplikacji na Twoim urządzeniu. Gdy instalujesz lub uruchamiasz aplikację, może ona żądać dostępu do różnych funkcji sprzętowych (aparat, mikrofon) lub danych (kontakty, lokalizacja). Zrozumienie tych uprawnień ma kluczowe znaczenie dla zachowania prywatności i bezpieczeństwa.

Kategorie uprawnień

Android dzieli uprawnienia na dwie główne kategorie:

Normalne uprawnienia (automatycznie przyznawane)

Uprawnienia te nie stwarzają istotnego zagrożenia dla prywatności użytkowników i są przyznawane automatycznie:

• INTERNET: Dostęp do Internetu, prawie wszystkie aplikacje go potrzebują
• WIBROWAĆ: Sterowanie silnikiem wibracyjnym urządzenia
• SET_TAPETA: Zmień tapetę urządzenia
• WAKE_BLOK: Zapobiega uśpieniu urządzenia
• ACCESS_NETWORK_STATE: Sprawdź stan połączenia sieciowego
• BLUETOOTH: Połącz się ze sparowanymi urządzeniami Bluetooth

Niebezpieczne uprawnienia (wymagają zgody użytkownika)

Te uprawnienia dotyczą danych użytkownika lub funkcji urządzenia, które mogą mieć wpływ na prywatność:

Kiedy być podejrzliwym

Powinieneś zakwestionować prośbę o pozwolenie, jeśli nie jest ona zgodna z funkcją aplikacji:

• 🚩 Aplikacja latarki żądająca dostępu do Łączność lub SMS-em
• 🚩 Kalkulator proszący o dostęp do Kamera lub Mikrofon
• 🚩 Aplikacja do tapet żądająca dostępu do Telefon lub Dziennik połączeń
• 🚩 Gra wymagająca uprawnień SMS-em
• 🚩 Dowolna aplikacja żądająca WSZYSTKICH uprawnień na raz

Jak sprawdzić uprawnienia pliku APK przed instalacją

Jeśli pobierasz plik APK, przed instalacją sprawdź jego uprawnienia:

1. Użyj naszego Narzędzie informacyjne APK, aby wyodrębnić pełną listę uprawnień
2. Przejrzyj każde zezwolenie pod kątem określonego celu aplikacji
3. Porównaj uprawnienia z oficjalną aplikacją w Sklepie Play
4. Jeśli coś wygląda podejrzanie, nie instaluj tego

Uprawnienia specjalne: te, które nie pojawiają się w czasie instalacji

Oprócz „normalnych” i „niebezpiecznych” uprawnień Android ma trzeci poziom o nazwie uprawnienia specjalny lub aplikacje. Są to najpotężniejsze możliwości platformy, na tyle potężne, że system operacyjny wymusza oddzielną, celową podróż do Ustawień, aby włączyć każdą z nich. To właśnie one są najczęściej wykorzystywane przez złośliwe oprogramowanie. Jeśli aplikacja pobrana z boku poprosi o którekolwiek z nich, zatrzymaj się i zapytaj dlaczego.

• Usługa dostępności (BIND_ACCESSIBILITY_SERVICE: pierwotnie zaprojektowany dla czytników ekranu i pomocy dla osób niepełnosprawnych fizycznie). Aplikacja z tymi uprawnieniami może czytać wszystko na ekranie, sprawdzać, co wpisujesz, a nawet dotykać przycisków w Twoim imieniu. Przyznawaj tylko aplikacjom, których funkcja jest w oczywisty sposób związana z dostępnością (TalkBack, automatyczne uzupełnianie menedżerów haseł, aplikacje ze słownikiem odczytującym zawartość ekranu).
• Administrator urządzenia/właściciel urządzenia: pozwala aplikacji zablokować urządzenie, wyczyścić dane, zmienić hasło i wyłączyć kamerę. Prawie żadna aplikacja konsumencka tego nie potrzebuje. Klienci do zarządzania urządzeniami mobilnymi w przedsiębiorstwie (MDM) stanowią uzasadniony wyjątek.
• Rysuj nad innymi aplikacjami (SYSTEM_ALERT_WINDOW: umożliwia aplikacji malowanie czegokolwiek innego na ekranie). Używane legalnie przez dymki na czacie i tłumaczy nakładek; wykorzystywane przez złośliwe oprogramowanie typu „tapjacking”, które ukrywa przycisk „tak, opróżnij moje konto” pod fałszywą nakładką „odbierz nagrodę”.
• Dostęp do wszystkich plików (MANAGE_EXTERNAL_STORAGE: omija zabezpieczenia pamięci o określonym zakresie w systemie Android 11 lub nowszym i pozwala aplikacji zobaczyć każdy plik w pamięci współdzielonej). Większość aplikacji powinna zamiast tego używać standardowych selektorów zdjęć/dokumentów.
• Słuchacz powiadomień: pozwala aplikacji odczytać każde powiadomienie na urządzeniu. Świetna funkcja dla aplikacji centrum produktywności; doskonałe narzędzie do kradzieży danych uwierzytelniających w przypadku nadużycia (aplikacje bankowe wysyłają jednorazowe kody do strumienia powiadomień).
• Zainstaluj nieznane aplikacje: zmienia aplikację hosta w moduł ładujący z boku. Ustaw tę opcję w przeglądarce lub menedżerze plików tylko wtedy, gdy rzeczywiście musisz zainstalować plik APK spoza Sklepu Play, a następnie wyłącz go ponownie.

Kombinacje uprawnień, na które warto zwrócić uwagę

Indywidualne uprawnienia opowiadają tylko część historii. Kombinacje są często bardziej odkrywcze niż jakiekolwiek pojedyncze żądanie:

• Dostępność + odbiornik powiadomień + SMS: to klasyczne trio trojanów bankowych i trojanów dla Androida. Trojan odczytuje zawartość ekranu, przechwytuje jednorazowe powiadomienie banku dotyczące hasła, a także może pobrać hasło jednorazowe z samej wiadomości SMS, jeśli użytkownik otrzyma je SMS-em. Żadna legalna aplikacja konsumencka nie łączy w sobie wszystkich trzech.
• Kamera + mikrofon + ALL_FILES_ACCESS + lokalizacja w tle: aplikacja monitorująca przypominająca oprogramowanie typu adware udająca latarkę, kalkulator lub tapetę. Odrzuć i odinstaluj.
• SYSTEM_ALERT_WINDOW + BIND_DEVICE_ADMIN: zachowanie klasy ransomware. Aplikacja może wyświetlić ekran „Twój telefon jest zablokowany, zapłać X” na górze programu uruchamiającego i uniemożliwić użytkownikowi jego wyłączenie.
• Telefon + Kontakty + Rejestr połączeń w przypadku aplikacji, która nie jest dialerem, aplikacją do kontaktów ani narzędziem do nagrywania rozmów: należy zachować szczególną ostrożność. Ta kombinacja nie ma legalnego zastosowania poza bardzo wąskim zestawem aplikacji, które sam Google dostarcza w tych kategoriach.

Sprawdzony przykład audytu

Załóżmy, że znalazłeś na forum darmowy plik APK typu „latarka” i przed instalacją sprawdziłeś go w naszym Narzędzie informacyjne APK. Manifest pokazuje następujące wymagane uprawnienia:

android.permission.CAMERA
android.permission.FLASHLIGHT
android.permission.INTERNET
android.permission.READ_CONTACTS
android.permission.READ_SMS
android.permission.RECEIVE_SMS
android.permission.READ_PHONE_STATE
android.permission.ACCESS_FINE_LOCATION
android.permission.SYSTEM_ALERT_WINDOW

Aplikacja latarki wymaga najwyżej uprawnień do aparatu (aby uzyskać dostęp do diody LED za pośrednictwem podsystemu aparatu), zezwolenia na latarkę i ewentualnie pozwolenia na korzystanie z Internetu w celu wyświetlania reklam. Wszystko poniżej tej linii jest nieuzasadnione. READ_SMS + READ_CONTACTS + RECEIVE_SMS + lokalizacja + aplikacje do rysowania to sygnatura nadzoru i kradzieży OTP opisana powyżej. Decyzja: nie instaluj. Usuń plik.

Uruchom ten sam rodzaj kontroli dla każdego pliku APK, który ładujesz. Pięć minut z audytorem uprawnień pozwala uniknąć problemów, których żadna aplikacja antywirusowa nie jest w stanie naprawić po fakcie.

Jak zachowują się uprawnienia w różnych wersjach Androida

Permission UX ulegał przekształceniom niemal co roku. Te same podstawowe możliwości mogą wyglądać zupełnie inaczej w przypadku Androida 9 i Androida 15:

• Androida 6 (2015): wprowadził uprawnienia wykonawcze dla niebezpiecznej grupy. Aplikacje nie mogły już żądać wszystkiego w czasie instalacji; musieli pytać, kiedy korzystali z tej funkcji.
• Androida 10: trzystanowe uprawnienia do lokalizacji (Zawsze zezwalaj / Zezwalaj tylko podczas używania / Zabroń). Lokalizacja w tle stała się odrębnym zezwoleniem.
• Androida 11: jednorazowe uprawnienia (nadanie na jedną sesję) i automatyczne cofanie uprawnień dla aplikacji nieużywanych od kilku miesięcy.
• Androida 13: oddzielne zezwolenie na powiadomienia dla nowo zainstalowanych aplikacji; szczegółowe uprawnienia do multimediów (READ_MEDIA_IMAGES, READ_MEDIA_VIDEO, READ_MEDIA_AUDIO zastępujące zbiorcze READ_EXTERNAL_STORAGE).
• Androida 14: częściowy dostęp do zdjęć/wideo, dzięki czemu aplikacje mogą pytać o „tylko te zdjęcia” zamiast o całą bibliotekę.
• Androida 15: bardziej rygorystyczne kontrole usług na pierwszym planie; zadeklarowane typy usług muszą odpowiadać faktycznie używanym uprawnieniom środowiska wykonawczego.

If you are still on an older Android version, you do not get the newer protections. Jeszcze bardziej uważaj na to, co instalujesz.

Pytania

Czy jeśli odmówię pozwolenia, aplikacja przestanie działać?

Większość aplikacji degraduje się płynnie: przycisk aparatu jest wyszarzony, funkcja rozpoznawania lokalizacji jest wyłączona, a reszta nadal działa. Niewielka mniejszość źle napisanych aplikacji ulega awarii lub nie chce się uruchomić. W takim przypadku zapytaj, czy naprawdę potrzebujesz aplikacji, która wymaga tak wiele.

Dlaczego aplikacja czasami ponownie pyta o pozwolenie?

Albo wcześniej wybrałeś opcję „Tylko tym razem” (jednorazowa dotacja), albo zezwolenie zostało cofnięte, ponieważ nie korzystałeś z aplikacji przez dłuższy czas, a Android automatycznie je cofnął. Obydwa zachowania stanowią celową ochronę.

Czy mogę zobaczyć wszystkie uprawnienia deklarowane przez plik APK przed jego zainstalowaniem?

Tak. Upuść plik APK w naszym Narzędzie informacyjne APK, który analizuje plik AndroidManifest.xml w Twojej przeglądarce, dekoduje binarny format XML i wyświetla listę wszystkich wpisów uses-permission zadeklarowanych przez aplikację. Porównaj tę listę z oczekiwaniami dotyczącymi kategorii aplikacji, zanim klikniesz „Zainstaluj”.

Zarządzanie uprawnieniami na swoim urządzeniu

Jak sprawdzić uprawnienia aplikacji

1. Przejdź do Ustawienia → Aplikacje
2. Wybierz aplikację
3. Kliknij Uprawnienia
4. W razie potrzeby przejrzyj i przełącz uprawnienia

Jak wyświetlić wszystkie aplikacje z określonymi uprawnieniami

1. Przejdź do Ustawienia → Prywatność → Menedżer uprawnień
2. Wybierz kategorię uprawnień (kamera, lokalizacja itp.)
3. Zobacz wszystkie aplikacje, które mają dostęp do tego uprawnienia
4. Odbierz dostęp aplikacjom, które go nie potrzebują

Zmiany uprawnień w systemie Android 13+

W najnowszych wersjach Androida wprowadzono znaczące ulepszenia w obsłudze uprawnień:

• Szczegółowe uprawnienia do multimediów: Zamiast pełnego dostępu do pamięci, aplikacje muszą żądać określonych typów multimediów (zdjęcia, filmy, audio)
• Zezwolenie na powiadomienie: Aplikacje muszą teraz pytać o pozwolenie na wysyłanie powiadomień
• Automatyczne unieważnienie: Uprawnienia są automatycznie odbierane aplikacjom, z których nie korzystałeś od miesięcy
• Przybliżona lokalizacja: Możesz podać lokalizację przybliżoną zamiast dokładnej
• Uprawnienia jednorazowe: Przyznaj kamerę/mikrofon/lokalizację tylko na jedną sesję

Praktyczne zasady kontroli uprawnień aplikacji

Uprawnienia to miejsce, w którym zdobywa się lub traci dużą część prywatności, dlatego opłaca się je czytać, a nie przeglądać. Kwestionuj wszystko, co nie pasuje do przeznaczenia aplikacji, i uruchom plik APK za pomocą naszego ekstraktora informacji o plikach APK, zanim go odsuniesz. Dobrze zbudowana aplikacja pyta o to, czego potrzebuje do działania i niewiele więcej.