Jak wyświetlić uprawnienia aplikacji na Androida przed zainstalowaniem pakietu APK

Gdy instalujesz aplikację ze Sklepu Google Play, system Android wyświetla uproszczone podsumowanie tego, do czego aplikacja może uzyskać dostęp. Sideload APK ze źródła innego niż Play i nie będziesz mieć takiej siatki bezpieczeństwa, chyba że sam przeczytasz manifest. „Czy aplikacja do tapet naprawdę powinna potrzebować dostępu do SMS-ów i mikrofonu?” to dokładnie ten rodzaj pytania, na który pomoże Ci odpowiedzieć ten przewodnik.

Poniżej znajduje się ten sam przepływ pracy, którego używa nasz zespół podczas selekcji nieznanego pliku APK: otwórz go, przeczytaj wpisy uses-permission, odkoduj poziomy ochrony i porównaj to, czego potrzebuje aplikacja mówi z tym, czego zwykle wymaga jej kategoria. Nasz Narzędzie internetowe APK Informacje wykonuje za Ciebie dekodowanie binarnego XML, więc cały proces zajmuje około dziesięciu sekund.

Po co zawracać sobie głowę sprawdzaniem uprawnień?

Złośliwi programiści pobierają popularne bezpłatne aplikacje, modyfikują je i ponownie udostępniają w witrynach stron trzecich. Chociaż aplikacja może wyglądać i działać normalnie, jej ukryty kod może kopiować listę kontaktów lub nagrywać dźwięk w tle. Przeglądając uprawnienia instalacja wstępna, możesz zauważyć czerwone flagi „pełzania uprawnień”.

Jak sprawdzić dowolny plik APK (online)

Nasz Narzędzie informacyjne APK odczytuje manifest Twojego pliku w całości w Twojej przeglądarce; plik nigdy nie jest przesyłany na serwer i żaden kod nie jest wykonywany. Oto jak z niego korzystać:

Proces:

1. Przejdź do Strona z informacjami o APK.
2. Wybierz plik .apk.
3. Poczekaj na zakończenie analizy (zwykle 5 sekund).
4. Przewiń w dół do Sekcja uprawnień.
5. Szukaj flag wysokiego ryzyka, takich jak: READ_SMS, PROCESS_OUTGOING_CALLS lub ACCESS_FINE_LOCATION.

Zrozumienie poziomów uprawnień Androida

Nie wszystkie uprawnienia są sobie równe. Android dzieli je na trzy poziomy:

• Normalna: Uprawnienia niskiego ryzyka, które nie zagrażają bezpośrednio prywatności (np. SET_ALARM). Android przyznaje je automatycznie.
• Niebezpieczny: Uprawnienia wysokiego ryzyka (kontakty, lokalizacja, kamera). Te musieć zostaną potwierdzone przez Ciebie po uruchomieniu aplikacji.
• Podpis/System: Bardzo wysokie ryzyko. Są one dostępne tylko dla aplikacji podpisanych przez producenta urządzenia lub sam system operacyjny.

Metoda ręczna (przy użyciu przeglądarki ZIP)

Jeśli masz pewne umiejętności techniczne, możesz samodzielnie sprawdzić uprawnienia:

1. Zmień nazwę app.apk na app.zip i otwórz go.
2. Znajdź AndroidManifest.xml. (Uwaga: jest w formacie binarnym i w edytorze tekstu będzie wyglądać jak bełkot).
3. Użyj narzędzia takiego jak AXMLPrinter, aby przekonwertować go na czytelny tekst.
4. Wyszukaj tagi zaczynające się od <uses-permission>.

Zalecenie: Dużo szybciej jest użyć naszego narzędzie internetowe, który dekoduje to natychmiast.

Co faktycznie jest przechowywane w pliku AndroidManifest.xml

Manifest jest źródłem prawdy dla każdego uprawnienia, komponentu i funkcji deklarowanej przez aplikację. Wewnątrz pliku APK plik ma postać binarny XML, a nie zwykły tekst widoczny w kodzie źródłowym, więc nie można go odczytać w zwykłym edytorze tekstu. Nasze narzędzie informacyjne APK dekoduje binarny plik XML i wyświetla odpowiednie tagi. Najważniejsze z nich to:

• <uses-permission android:name="..."/>: każde pozwolenie, o które aplikacja może kiedykolwiek poprosić. Lista pełny jest tutaj, łącznie z tymi, których aplikacja może nigdy nie używać w czasie działania.
• <uses-permission-sdk-23 ... />: to samo, ale wymagane tylko wtedy, gdy aplikacja działa na systemie Android 6 lub nowszym. Starsze urządzenia są dozwolone w trybie cichym, bez monitowania.
• <uses-feature android:name="..." android:required="true|false"/>: funkcje sprzętowe, z których korzysta aplikacja (aparat, GPS, NFC). Po oznaczeniu wymagany Sklep Play ukrywa aplikację przed urządzeniami, które nie mają tej funkcji.
• <application android:debuggable="true">: gigantyczna czerwona flaga w wydaniu APK. Aplikacja, którą można debugować, udostępnia stan pamięci i procesu każdemu, kto ma dostęp ADB. Odrzucić.
• <activity android:exported="true"> w przypadku wrażliwych działań: umożliwia innym aplikacjom uruchamianie tego ekranu. W przypadku aplikacji chroniącej prywatność często oznacza to niechlujne kodowanie.

Poziomy ochrony uprawnień: Ściągawka

Android przypisuje każdemu uprawnieniu „poziom ochrony”. Wiedza o tym, do jakiego poziomu należy żądanie, informuje, jak poważnie system operacyjny potraktuje je.

Co właściwie oznaczają „ukryte” uprawnienia

Powszechnym błędnym przekonaniem jest to, że niektóre uprawnienia są tajne. Tak nie jest: każde pozwolenie, z którego może korzystać aplikacja, musi zostać zadeklarowane w AndroidManifest.xml, a system operacyjny odmawia udzielenia jakichkolwiek uprawnień, które nie są tam wymienione. To, co ludzie zwykle mają na myśli, mówiąc „ukryty”, to jedna z dwóch rzeczy:

• Uprawnienia na poziomie normalnym są ciche. Są przyznawane w czasie instalacji, bez interakcji użytkownika. Podsumowanie niektórych z nich nawet nie jest widoczne w Sklepie Play. Są „ukryte” w sensie „łatwe do przeoczenia”, a nie „nieujawnione”.
• Aplikacje Niestandardowe uprawnienia zdefiniowane przez aplikację. mogą deklarować własne tagi <permission> i wymagać ich w komponentach wewnętrznych. Istnieją one do komunikacji między aplikacjami i same w sobie nie stanowią zagrożenia dla prywatności, ale mogą zostać nadużyte, jeśli popularna aplikacja zadeklaruje niestandardowe uprawnienia z niewłaściwym poziomem ochrony, a inna aplikacja użyje ich następnie jako backdoora.

Tak czy inaczej, odpowiedź jest ta sama: przeczytaj manifest, nie ufaj samemu opisowi Sklepu Play.

Sprawdzony przykład: audyt prawdziwego pliku APK

Załóżmy, że masz example.apk w folderze Pobrane. Oto dokładny przebieg pracy:

1. Otwórz Narzędzie informacyjne APK w swojej przeglądarce.
2. Upuść plik APK w obszarze przesyłania. Przetwarzanie odbywa się lokalnie; plik nie opuszcza urządzenia.
3. Przeczytaj sekcję Uprawnienia. Każdy wpis zawiera nazwę stałą (android.permission.READ_CONTACTS i prosty opis tego, na co pozwala).
4. Porównaj listę z kategorią aplikacji. Z grubsza spodziewaj się:
   • Aplikacje aparatu: CAMERA, RECORD_AUDIO (dla wideo), STORAGE/MEDIA zapis
   • Aplikacje do przesyłania wiadomości: INTERNET, READ_CONTACTS, SEND_SMS (tylko w przypadku wiadomości SMS), RECORD_AUDIO (do notatek głosowych), CAMERA (do wysyłania zdjęć)
   • Zawody sportowe: INTERNET, czasami RECORD_AUDIO (do czatu głosowego w grze), uprawnienia związane z rozliczeniami; rzadko coś innego
   • Aplikacje użytkowe (kalkulator, latarka, pogoda): INTERNET (dla reklam), ACCESS_NETWORK_STATE, ewentualnie LOKALIZACJA (tylko pogoda). Wszystko poza tym jest podejrzane.
5. Jeśli cokolwiek na liście nie pasuje do kategorii, nie instaluj. Nie ma dobrego powodu, dla którego kalkulator potrzebuje dostępu przez SMS.

Ta sama logika obowiązuje niezależnie od tego, czy plik jest plikiem APK, XAPK (w którym czytamy wewnętrzny podstawowy plik APK), czy pakietem APKS (w którym czytamy manifest każdego podziału).

Robi to z wiersza poleceń

Jeśli wolisz trasę terminalową, pakiet SDK systemu Android zawiera aapt2, który zrzuca manifest z dowolnego pliku APK w zwykłym formacie XML:

aapt2 dump badging example.apk | grep "uses-permission"

Lub użyj apksigner, aby jednocześnie zweryfikować certyfikat podpisujący:

apksigner verify --print-certs example.apk

Narzędzie przeglądarki robi to samo dla użytkowników, którzy woleliby nie instalować pakietu SDK tylko w celu sprawdzenia pojedynczego pliku.

Często zadawane pytania (FAQ)

Sprawdzanie uprawnień manifestu przed dotknięciem opcji Zainstaluj

Nie możesz osądzać tego, czego nie widzisz. Poświęcenie dziesięciu sekund na wyświetl uprawnienia pliku APK przed załadowaniem bocznym to różnica między wiedzą, do czego aplikacja może dotrzeć, a po prostu nadzieją, że się zachowa. Najpierw przeczytaj listę, a następnie zainstaluj.