Permissões de aplicativos Android explicadas

Todo aplicativo Android pede permissões para acessar partes do seu dispositivo, mas as telas de solicitação raramente explicam o que essas permissões realmente permitem que um aplicativo faça. O resumo abaixo cobre todas as principais permissões do Android, aponta algumas que realmente afetam sua privacidade e fornece algumas regras simples para decidir o que permitir.

O que são permissões do Android?

As permissões do Android são um mecanismo de segurança que controla o que um aplicativo pode acessar no seu dispositivo. Quando você instala ou executa um aplicativo, ele pode solicitar acesso a vários recursos de hardware (câmera, microfone) ou dados (contatos, localização). Compreender essas permissões é crucial para manter sua privacidade e segurança.

Categorias de permissão

O Android divide as permissões em duas categorias principais:

Permissões normais (concedidas automaticamente)

Estas permissões não representam um risco significativo para a privacidade do usuário e são concedidas automaticamente:

• INTERNET: Acesso à internet, quase todos os aplicativos precisam disso
• VIBRAR: Controla o motor de vibração do dispositivo
• SET_WALLPAPER: Alterar o papel de parede do dispositivo
• WAKE_LOCK: Impedir que o dispositivo hiberne
• ACESSO_NETWORK_STATE: Verifique o status de conectividade da rede
• BLUETOOTH: Conecte-se a dispositivos Bluetooth emparelhados

Permissões perigosas (requer aprovação do usuário)

Estas permissões envolvem dados do usuário ou recursos do dispositivo que podem afetar a privacidade:

Quando ser suspeito

Você deve questionar uma solicitação de permissão quando ela não corresponder à função do aplicativo:

• 🚩 Um aplicativo de lanterna solicitando acesso Contatos ou SMS
• 🚩 Uma calculadora solicitando acesso Câmera ou Microfone
• 🚩 Um aplicativo de papel de parede solicitando acesso Telefone ou Registro de chamadas
• 🚩 Um jogo solicitando permissões SMS
• 🚩 Qualquer aplicativo que solicite TODAS as permissões de uma vez

Como verificar as permissões de um APK antes de instalar

Se você estiver fazendo o sideload de um APK, verifique suas permissões antes de instalar:

1. Use nosso Ferramenta de informações do APK para extrair a lista completa de permissões
2. Revise cada permissão em relação à finalidade declarada do aplicativo
3. Compare as permissões com o aplicativo oficial na Play Store
4. Se algo parecer suspeito, não instale

Permissões especiais: aquelas que não aparecem no momento da instalação

Além das permissões “normais” e “perigosas”, o Android tem um terceiro nível chamado permissões especial ou aplicativos. Esses são os recursos mais poderosos da plataforma, poderosos o suficiente para que o sistema operacional force uma viagem separada e deliberada às Configurações para ativar cada um deles. Eles também são os mais comumente usados ​​por malware. Se um aplicativo transferido por sideload solicitar alguma dessas opções, pare e pergunte por quê.

• Serviço de acessibilidade (BIND_ACCESSIBILITY_SERVICE: originalmente projetado para leitores de tela e assistência a deficientes físicos). Um aplicativo com essa permissão pode ler tudo na tela, ver o que você digita e até tocar em botões em seu nome. Conceda apenas para aplicativos onde a função é obviamente relacionada à acessibilidade (TalkBack, fluxos de preenchimento automático de gerenciadores de senhas, aplicativos de dicionário de leitura de tela).
• Administrador do dispositivo/Proprietário do dispositivo: permite que um aplicativo bloqueie o dispositivo, apague dados, altere a senha e desative a câmera. Quase nenhum aplicativo de consumo precisa disso. Os clientes de gerenciamento móvel empresarial (MDM) são uma exceção legítima.
• Desenhar sobre outros aplicativos (SYSTEM_ALERT_WINDOW: permite que um aplicativo pinte sobre qualquer outra coisa na tela). Usado legitimamente por balões de bate-papo e tradutores de sobreposição; abusado por malware tap-jacking que esconde um botão "sim, drenar minha conta" sob uma falsa sobreposição "resgate seu prêmio".
• Acesso a todos os arquivos (MANAGE_EXTERNAL_STORAGE: ignora as proteções de armazenamento com escopo no Android 11+ e permite que o aplicativo veja todos os arquivos no armazenamento compartilhado). A maioria dos aplicativos deve usar os seletores padrão de fotos/documentos.
• Ouvinte de notificação: permite que um aplicativo leia todas as notificações no dispositivo. Um ótimo recurso para aplicativos de hub de produtividade; uma ferramenta perfeita para roubo de credenciais quando abusadas (aplicativos bancários publicam códigos únicos no fluxo de notificação).
• Instale aplicativos desconhecidos: transforma o aplicativo host em um carregador lateral. Defina isso em seu navegador ou gerenciador de arquivos apenas quando realmente precisar instalar um APK de fora da Play Store e, em seguida, desligue-o novamente.

Combinações de permissão a serem observadas

As permissões individuais contam apenas parte da história. As combinações costumam ser mais reveladoras do que qualquer pedido único:

• Acessibilidade + Ouvinte de Notificação + SMS: este é o trio clássico de trojan bancário para Android. O trojan lê o conteúdo da tela, intercepta a notificação de senha de uso único do banco e também pode extrair o OTP do próprio SMS se o usuário o receber por mensagem de texto. Nenhum aplicativo de consumo legítimo combina todos os três.
• Câmera + Microfone + ALL_FILES_ACCESS + localização de fundo: aplicativo de vigilância estilo adware que finge ser uma lanterna, calculadora ou papel de parede. Rejeite e desinstale.
• SYSTEM_ALERT_WINDOW + BIND_DEVICE_ADMIN: comportamento de classe de ransomware. O aplicativo pode pintar uma tela “seu telefone está bloqueado, pague X” na parte superior do inicializador e impedir que o usuário o desative.
• Telefone + Contatos + Registro de chamadas para um aplicativo que não é um discador, um aplicativo de contatos ou uma ferramenta de gravação de chamadas: extremo cuidado. Essa combinação não tem uso legítimo fora do conjunto muito restrito de aplicativos que o próprio Google fornece nessas categorias.

Um exemplo de auditoria funcional

Suponha que você encontrou um APK de "tocha" gratuito em um fórum e o executou em nosso Ferramenta de informações do APK antes de instalar. O manifesto mostra as seguintes permissões solicitadas:

android.permission.CAMERA
android.permission.FLASHLIGHT
android.permission.INTERNET
android.permission.READ_CONTACTS
android.permission.READ_SMS
android.permission.RECEIVE_SMS
android.permission.READ_PHONE_STATE
android.permission.ACCESS_FINE_LOCATION
android.permission.SYSTEM_ALERT_WINDOW

Um aplicativo de tocha precisa permissão da câmera (para acessar o LED através do subsistema da câmera), a permissão da lanterna e, possivelmente, a permissão da Internet para anúncios. Tudo abaixo dessa linha é injustificado.READ_SMS+READ_CONTACTS+RECEIVE_SMS+ localização + draw-over-apps é a assinatura de vigilância e roubo OTP descrita acima. Decisão: não instale. Exclua o arquivo. no máximo

Execute o mesmo tipo de verificação em cada APK que você carrega de lado. Cinco minutos com permissão de um auditor evitam problemas que nenhum aplicativo antivírus pode resolver após o fato.

Como as permissões se comportam em diferentes versões do Android

A permissão UX foi remodelada quase todos os anos. A mesma capacidade subjacente pode parecer muito diferente no Android 9 e no Android 15:

• Andróide 6 (2015): introduziu permissões em tempo de execução para o grupo de risco. Os aplicativos não podiam mais exigir tudo no momento da instalação; eles tiveram que perguntar quando usaram o recurso.
• Permissões de localização de três estados Android 10: (Permitir o tempo todo / Permitir somente durante o uso / Negar). A localização em segundo plano tornou-se uma permissão concedida separadamente.
• Permissões únicas Android 11: (concessão para uma única sessão) e revogação automática de permissão para aplicativos não utilizados por vários meses.
• Permissão de notificação separada Andróide 13: para aplicativos recém-instalados; permissões de mídia granulares (READ_MEDIA_IMAGES, READ_MEDIA_VIDEO, READ_MEDIA_AUDIO substituindo READ_EXTERNAL_STORAGE geral).
• Andróide 14: acesso parcial a fotos/vídeos, para que os aplicativos possam solicitar “apenas essas fotos” em vez de toda a biblioteca.
• Andróide 15: controles mais rígidos de serviços em primeiro plano; os tipos de serviço declarados devem corresponder às permissões de tempo de execução realmente usadas.

Se você ainda estiver usando uma versão mais antiga do Android, não terá as proteções mais recentes. Tenha ainda mais cuidado com o que você instala.

Perguntas

Se eu negar uma permissão, o aplicativo deixará de funcionar?

A maioria dos aplicativos degrada normalmente: o botão da câmera fica acinzentado, o recurso de reconhecimento de localização está desativado e o resto ainda funciona. Uma pequena minoria de aplicativos mal escritos trava ou se recusa a iniciar; nesse caso, pergunte se você realmente precisa de um aplicativo que exige tanto.

Por que um aplicativo às vezes pede permissão novamente?

Você selecionou anteriormente "Somente desta vez" (uma concessão única) ou a permissão foi revogada porque você não usou o aplicativo por um longo período e o Android o revogou automaticamente. Ambos os comportamentos são proteções intencionais.

Posso ver todas as permissões declaradas por um APK antes de instalá-lo?

Sim. Coloque o APK em nosso Ferramenta de informações do APK e ele analisa o AndroidManifest.xml em seu navegador, decodifica o formato XML binário e lista todas as entradas uses-permission declaradas pelo aplicativo. Compare essa lista com o que você esperaria da categoria do aplicativo antes de tocar em “Instalar”.

Gerenciando permissões em seu dispositivo

Como revisar as permissões do aplicativo

1. Vá para Configurações → Aplicativos
2. Selecione um aplicativo
3. Toque em Permissões
4. Revise e alterne as permissões conforme necessário

Como visualizar todos os aplicativos com permissão específica

1. Vá para Configurações → Privacidade → Gerenciador de permissões
2. Selecione uma categoria de permissão (câmera, local, etc.)
3. Veja todos os aplicativos que têm acesso a essa permissão
4. Revogar o acesso de aplicativos que não precisam dele

Alterações de permissão do Android 13+

Versões recentes do Android fizeram melhorias significativas no tratamento de permissões:

• Permissões granulares de mídia: Em vez de acesso total ao armazenamento, os aplicativos devem solicitar tipos de mídia específicos (fotos, vídeos, áudio)
• Os aplicativos Permissão de notificação: agora devem pedir permissão para enviar notificações
• Revogação automática: As permissões são revogadas automaticamente para aplicativos que você não usa há meses
• Localização aproximada: Você pode conceder localização aproximada em vez de precisa
• Permissões únicas: Conceder câmera/microfone/localização apenas para uma sessão

Regras práticas para auditoria de permissões de aplicativos

As permissões são onde grande parte da sua privacidade é ganha ou perdida, por isso vale a pena lê-las em vez de aproveitá-las. Questione qualquer coisa que não corresponda à finalidade do aplicativo e execute um APK por meio de nosso extrator de informações do APK antes de carregá-lo. Um aplicativo bem construído pede o que precisa para funcionar e nada mais.