Giải thích về quyền của ứng dụng Android

Mọi ứng dụng Android đều yêu cầu quyền truy cập vào các bộ phận trên thiết bị của bạn nhưng màn hình yêu cầu hiếm khi giải thích những quyền đó thực sự cho phép ứng dụng thực hiện. Danh sách bên dưới bao gồm mọi quyền chính của Android, chỉ ra một số quyền thực sự ảnh hưởng đến quyền riêng tư của bạn và cung cấp cho bạn một số quy tắc đơn giản để quyết định những gì nên cho phép.

Quyền của Android là gì?

Quyền của Android là cơ chế bảo mật kiểm soát những gì ứng dụng có thể truy cập trên thiết bị của bạn. Khi bạn cài đặt hoặc chạy một ứng dụng, ứng dụng đó có thể yêu cầu quyền truy cập vào nhiều tính năng phần cứng khác nhau (máy ảnh, micrô) hoặc dữ liệu (danh bạ, vị trí). Hiểu các quyền này là rất quan trọng để duy trì quyền riêng tư và bảo mật của bạn.

Danh mục quyền

Android chia quyền thành hai loại chính:

Quyền thông thường (Được cấp tự động)

Các quyền này không gây rủi ro đáng kể cho quyền riêng tư của người dùng và được cấp tự động:

• INTERNET: Truy cập internet, hầu hết mọi ứng dụng đều cần điều này
• RUNG: Điều khiển mô tơ rung của thiết bị
• BỘ_WALLPAPER: Thay đổi hình nền thiết bị
• WAKE_LOCK: Ngăn thiết bị ngủ
• ACCESS_NETWORK_STATE: Kiểm tra trạng thái kết nối mạng
• BLUETOOTH: Kết nối với các thiết bị Bluetooth được ghép nối

Quyền nguy hiểm (Yêu cầu sự chấp thuận của người dùng)

Các quyền này liên quan đến dữ liệu người dùng hoặc các tính năng của thiết bị có thể ảnh hưởng đến quyền riêng tư:

Khi nào nên nghi ngờ

Bạn nên đặt câu hỏi về yêu cầu cấp phép khi nó không phù hợp với chức năng của ứng dụng:

• 🚩 Ứng dụng đèn pin yêu cầu quyền truy cập Danh bạ hoặc tin nhắn SMS
• 🚩 Máy tính yêu cầu quyền truy cập Máy ảnh hoặc Micrô
• 🚩 Ứng dụng hình nền yêu cầu quyền truy cập Điện thoại hoặc Nhật ký cuộc gọi
• 🚩 Trò chơi yêu cầu quyền tin nhắn SMS
• 🚩 Bất kỳ ứng dụng nào yêu cầu TẤT CẢ quyền cùng một lúc

Cách kiểm tra quyền của APK trước khi cài đặt

Nếu đang tải APK qua một bên, bạn nên kiểm tra quyền của APK đó trước khi cài đặt:

1. Sử dụng Công cụ thông tin APK của chúng tôi để trích xuất danh sách quyền đầy đủ
2. Xem xét từng quyền theo mục đích đã nêu của ứng dụng
3. So sánh quyền với ứng dụng chính thức trên Play Store
4. Nếu có gì đáng ngờ, đừng cài đặt nó

Quyền đặc biệt: Những quyền không hiển thị vào thời điểm cài đặt

Ngoài các quyền "bình thường" và "nguy hiểm", Android còn có cấp thứ ba gọi là quyền đặc biệt hoặc xuất hiện. Đây là những khả năng mạnh mẽ nhất trên nền tảng, đủ mạnh để hệ điều hành buộc phải thực hiện một chuyến đi riêng biệt, có chủ ý vào Cài đặt để kích hoạt từng chức năng. Chúng cũng là những thứ thường bị phần mềm độc hại lạm dụng nhất. Nếu một ứng dụng được tải sẵn yêu cầu bất kỳ điều nào trong số này, hãy dừng lại và hỏi lý do.

• Dịch vụ trợ năng (BIND_ACCESSIBILITY_SERVICE: ban đầu được thiết kế dành cho trình đọc màn hình và hỗ trợ người khuyết tật về thể chất). Ứng dụng có quyền này có thể đọc mọi thứ trên màn hình của bạn, xem nội dung bạn nhập và thậm chí thay mặt bạn nhấn vào các nút. Chỉ cấp cho những ứng dụng có chức năng rõ ràng liên quan đến khả năng truy cập (TalkBack, luồng tự động điền của trình quản lý mật khẩu, ứng dụng từ điển đọc màn hình).
• Quản trị viên thiết bị / Chủ sở hữu thiết bị: cho phép ứng dụng khóa thiết bị, xóa dữ liệu, thay đổi mật khẩu và tắt camera. Hầu như không có ứng dụng tiêu dùng nào cần điều này. Ứng dụng khách quản lý di động doanh nghiệp (MDM) là một ngoại lệ hợp pháp.
• Vẽ lên các ứng dụng khác (SYSTEM_ALERT_WINDOW: cho phép ứng dụng vẽ lên bất kỳ thứ gì khác trên màn hình). Được sử dụng hợp pháp bởi bong bóng đầu trò chuyện và trình dịch lớp phủ; bị lạm dụng bởi phần mềm độc hại tap-jacking để ẩn nút "có, rút cạn tài khoản của tôi" bên dưới lớp phủ "nhận giải thưởng" giả mạo.
• Quyền truy cập vào tất cả các tệp (MANAGE_EXTERNAL_STORAGE: bỏ qua các biện pháp bảo vệ bộ nhớ có phạm vi trên Android 11+ và cho phép ứng dụng xem mọi tệp trên bộ nhớ dùng chung). Thay vào đó, hầu hết các ứng dụng nên sử dụng bộ chọn ảnh/tài liệu tiêu chuẩn.
• Trình nghe thông báo: cho phép ứng dụng đọc mọi thông báo trên thiết bị. Một tính năng tuyệt vời dành cho các ứng dụng trung tâm năng suất; một công cụ hoàn hảo để đánh cắp thông tin xác thực khi bị lạm dụng (các ứng dụng ngân hàng đăng mã một lần lên luồng thông báo).
• Cài đặt ứng dụng không xác định: biến ứng dụng máy chủ thành trình tải phụ. Chỉ đặt cài đặt này trên trình duyệt hoặc trình quản lý tệp của bạn khi bạn thực sự cần cài đặt APK từ bên ngoài Cửa hàng Play, sau đó tắt nó đi.

Các kết hợp quyền cần chú ý

Quyền cá nhân chỉ kể một phần của câu chuyện. Sự kết hợp thường tiết lộ nhiều hơn bất kỳ yêu cầu đơn lẻ nào:

• Trợ năng + Trình nghe thông báo + SMS: đây là bộ ba trojan ngân hàng Android cổ điển. Trojan đọc nội dung trên màn hình, chặn thông báo mật khẩu một lần của ngân hàng và cũng có thể lấy OTP từ chính SMS nếu người dùng tình cờ nhận được nó qua tin nhắn. Không có ứng dụng tiêu dùng hợp pháp nào kết hợp cả ba.
• Máy ảnh + Micrô + ALL_FILES_ACCESS + vị trí ở chế độ nền: ứng dụng giám sát kiểu phần mềm quảng cáo giả vờ là đèn pin, máy tính hoặc hình nền. Từ chối và gỡ cài đặt.
• HỆ THỐNG_ALERT_WINDOW + BIND_DEVICE_ADMIN: hành vi của lớp ransomware. Ứng dụng có thể vẽ màn hình "điện thoại của bạn bị khóa, trả X" lên trên trình khởi chạy và ngăn người dùng tắt nó.
• Điện thoại + Danh bạ + Nhật ký cuộc gọi dành cho ứng dụng không phải là trình quay số, ứng dụng danh bạ hoặc công cụ ghi âm cuộc gọi: hết sức thận trọng. Sự kết hợp này không có mục đích sử dụng hợp pháp ngoài nhóm ứng dụng rất hẹp mà chính Google cung cấp trong các danh mục đó.

Một ví dụ kiểm toán đã hoạt động

Giả sử bạn tìm thấy APK "ngọn đuốc" miễn phí trên một diễn đàn và chạy nó thông qua Công cụ thông tin APK của chúng tôi trước khi cài đặt. Tệp kê khai hiển thị các quyền được yêu cầu sau:

android.permission.CAMERA
android.permission.FLASHLIGHT
android.permission.INTERNET
android.permission.READ_CONTACTS
android.permission.READ_SMS
android.permission.RECEIVE_SMS
android.permission.READ_PHONE_STATE
android.permission.ACCESS_FINE_LOCATION
android.permission.SYSTEM_ALERT_WINDOW

Ứng dụng đèn pin cần có nhiều nhất quyền máy ảnh (để truy cập đèn LED thông qua hệ thống con máy ảnh), quyền đèn pin và có thể cả quyền Internet cho quảng cáo. Tất cả mọi thứ dưới dòng đó là không hợp lý. READ_SMS + READ_CONTACTS + RECEIVE_SMS + vị trí + ứng dụng rút tiền là chữ ký giám sát và trộm cắp OTP được mô tả ở trên. Quyết định: không cài đặt. Xóa tập tin.

Chạy cùng một loại kiểm tra trên mọi APK bạn tải qua. Năm phút với người kiểm tra quyền sẽ giúp bạn tránh khỏi các vấn đề mà không ứng dụng chống vi-rút nào có thể giải quyết được sau thực tế.

Cách thức hoạt động của các quyền trên các phiên bản Android khác nhau

Giấy phép UX đã được định hình lại hầu như hàng năm. Khả năng cơ bản tương tự có thể mang lại cảm giác rất khác nhau trên Android 9 so với Android 15:

• Android 6 (2015): đã giới thiệu quyền thời gian chạy cho nhóm nguy hiểm. Ứng dụng không còn có thể yêu cầu mọi thứ vào thời điểm cài đặt; họ phải hỏi khi nào họ sử dụng tính năng này.
• Quyền vị trí ba trạng thái Android 10: (Cho phép mọi lúc / Chỉ cho phép khi sử dụng / Từ chối). Vị trí nền đã trở thành quyền được cấp riêng.
• Android 11: quyền một lần (cấp cho một phiên duy nhất) và tự động thu hồi quyền đối với các ứng dụng không được sử dụng trong vài tháng.
• Quyền thông báo riêng Android 13: cho các ứng dụng mới cài đặt; quyền phương tiện chi tiết (READ_MEDIA_IMAGES, READ_MEDIA_VIDEO, READ_MEDIA_AUDIO thay thế chăn READ_EXTERNAL_STORAGE).
• Android 14: truy cập một phần ảnh / video, vì vậy các ứng dụng có thể yêu cầu "chỉ những ảnh này" thay vì toàn bộ thư viện.
• Android 15: kiểm soát dịch vụ tiền cảnh chặt chẽ hơn; các loại dịch vụ được khai báo phải khớp với các quyền thời gian chạy thực sự được sử dụng.

Nếu bạn vẫn đang sử dụng phiên bản Android cũ hơn, bạn sẽ không nhận được các biện pháp bảo vệ mới hơn. Hãy cẩn thận hơn nữa về những gì bạn cài đặt.

Hỏi đáp

Nếu tôi từ chối quyền, ứng dụng có ngừng hoạt động không?

Hầu hết các ứng dụng đều xuống cấp một cách nhẹ nhàng: nút camera chuyển sang màu xám, tính năng nhận biết vị trí bị tắt và phần còn lại vẫn hoạt động. Một số ít ứng dụng được viết kém bị lỗi hoặc không khởi động được, trong trường hợp đó hãy hỏi xem bạn có thực sự cần một ứng dụng đòi hỏi nhiều như vậy không.

Tại sao đôi khi ứng dụng lại yêu cầu cấp quyền?

Trước đây bạn đã chọn "Chỉ lần này" (cấp một lần) hoặc quyền đã bị thu hồi vì bạn không sử dụng ứng dụng trong một thời gian dài và Android đã tự động thu hồi quyền đó. Cả hai hành vi đều là sự bảo vệ có chủ ý.

Tôi có thể xem mọi quyền mà APK khai báo trước khi cài đặt không?

Đúng. Thả APK vào Công cụ thông tin APK của chúng tôi và nó sẽ phân tích AndroidManifest.xml trong trình duyệt của bạn, giải mã định dạng XML nhị phân và liệt kê mọi mục nhập uses-permission mà ứng dụng đã khai báo. So sánh danh sách đó với những gì bạn mong đợi đối với danh mục ứng dụng trước khi nhấn "Cài đặt".

Quản lý quyền trên thiết bị của bạn

Cách xem lại quyền của ứng dụng

1. Chuyển đến Cài đặt → Ứng dụng
2. Chọn một ứng dụng
3. Nhấn vào Quyền
4. Xem xét và chuyển đổi quyền khi cần thiết

Cách xem tất cả ứng dụng có quyền cụ thể

1. Chuyển đến Cài đặt → Quyền riêng tư → Trình quản lý quyền
2. Chọn danh mục quyền (Máy ảnh, Vị trí, v.v.)
3. Xem tất cả các ứng dụng có quyền truy cập vào quyền đó
4. Thu hồi quyền truy cập từ các ứng dụng không cần đến

Thay đổi quyền của Android 13+

Các phiên bản Android gần đây đã có những cải tiến đáng kể trong việc xử lý quyền:

• Quyền phương tiện chi tiết: Thay vì truy cập toàn bộ bộ nhớ, ứng dụng phải yêu cầu các loại phương tiện cụ thể (ảnh, video, âm thanh)
• Ứng dụng Quyền thông báo: hiện phải xin phép gửi thông báo
• Quyền của Tự động thu hồi: sẽ tự động bị thu hồi đối với các ứng dụng bạn không sử dụng trong nhiều tháng
• Vị trí gần đúng: Bạn có thể cấp vị trí gần đúng thay vì vị trí chính xác
• Quyền một lần: Cấp Camera/Micrô/Vị trí chỉ cho một phiên

Các quy tắc thực hành để kiểm tra quyền của ứng dụng

Quyền là nơi phần lớn quyền riêng tư của bạn được giành hoặc bị mất, vì vậy, bạn nên đọc chúng thay vì nhấn vào. Hãy đặt câu hỏi về bất kỳ điều gì không phù hợp với mục đích của ứng dụng và chạy APK thông qua trình trích xuất Thông tin APK của chúng tôi trước khi bạn tải nó xuống. Một ứng dụng được xây dựng tốt sẽ yêu cầu những gì nó cần để hoạt động chứ không phải nhiều thứ khác.