Uprawnienia aplikacji w systemie Android 8: kompleksowy poradnik

Obecnie system Android występuje w niezliczonej liczbie wersji. Wynika to z faktu, że każdy producent modyfikuje ten system pod kątem własnych wymagań, chociaż nie zawsze z dobrym skutkiem. Jednak w sercu Androida leży dobrze zaprojektowany system operacyjny, który z każdą nową wersją jest coraz lepiej zabezpieczony.

A mówiąc precyzyjniej, jest coraz bezpieczniejszy, o ile użytkownik właściwie postępuje. Aby dostać się do wielu interesujących danych przechowywanych w pamięci współdzielonej lub funkcji, które mogą stwarzać w jakimś stopniu zagrożenie, aplikacje dla Androida zawsze muszą uzyskać wyraźną zgodę użytkownika. Z tego powodu odpowiednia konfiguracja tych ustawień ma ogromne znaczenie.

W jednym z wcześniejszych postów opisaliśmy, jak poprawnie skonfigurować te ustawienia w systemie Android 6. Dziś powiemy o nowszej wersji tego systemu — Android 8. Po pierwsze, wersja ta ma znacznie więcej ustawień niż poprzednia, co ma swoje wady i zalety. Z jednej strony umożliwia solidne zabezpieczenie systemu; lecz z drugiej strony konfiguracja wszystkich opcji jest znacznie bardziej skomplikowana i zajmuje więcej czasu. Ponadto ustawienia te są rozmieszczone w różnych miejscach, czasami bardzo nieoczywistych. Jednak dzięki naszemu poradnikowi wszystko stanie się prostsze.

Uprawnienia konfigurowane na liście uprawnień aplikacji

Lista ta obejmuje uprawnienia umożliwiające aplikacjom uzyskiwanie dostępu do informacji osobistych przechowywanych w smartfonie (kontakty, historia połączeń, SMS-y, zdjęcia) i wbudowanych urządzeń, przez które można otrzymywać takie dane (aparat, mikrofon, telefon, odbiornik GPS).

Zanim aplikacja otrzyma jakieś uprawnienia, musi wyraźnie zapytać o nie użytkownika. To Ty decydujesz, do czego ma ona dostęp.

Jeśli nadasz jakiejś aplikacji konkretne uprawnienia, od tej pory może ona uzyskiwać jakieś informacje i przesyłać je do chmury bez pytania, jak również nie będzie informować o swoich zamiarach względem nich.

Wobec tego zalecamy wszystkim użytkownikom, aby zachowywali czujność podczas przyznawania aplikacjom uprawnień – zwłaszcza jeśli nie są one wymagane do jej działania. Na przykład większość gier nie potrzebuje dostępu do listy kontaktów czy aparatu, komunikatory nie muszą znać Twojej lokalizacji, a nowy filtr do aparatu prawdopodobnie obejdzie się bez historii połączeń.

Oczywiście decyzja należy do Ciebie, ale im mniej uprawnień przydzielisz, tym bezpieczniejsze będą Twoje dane.

SMS

Do czego służy. Możliwość wysyłania i odbierania SMS-ów, MMS-ów i wiadomości typu WAP Push, jak również podgląd wiadomości w pamięci smartfona.

Jakie stwarza zagrożenie. Aplikacja posiadająca te uprawnienia będzie mogła odczytywać całą Twoją korespondencję SMS, w tym wiadomości zawierające kody jednorazowe do bankowości internetowej i potwierdzania transakcji.

Korzystając z tego uprawnienia, aplikacja może również wysyłać do znajomych wiadomości spamowe w Twoim imieniu (i na Twój koszt). Lub zapisywać Cię do „usług” o podwyższonej opłacie.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> SMS

Kalendarz

Do czego służy. Możliwość wyświetlania, usuwania, modyfikowania i dodawania wydarzeń w kalendarzu.

Jakie stwarza zagrożenie. Ciekawska osoba może dowiedzieć się, co robiłeś i co zamierzasz robić dziś i w przyszłości. Uprawnienia te są uwielbiane przez programy szpiegujące.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Kalendarz

Aparat

Co oznacza: Możliwość uzyskiwania dostępu do aparatu, dzięki czemu aplikacja może robić zdjęcia i nagrywać filmy.

Jakie stwarza zagrożenie. Aplikacje z tymi uprawnieniami mogą robić zdjęcia lub nagrywać filmy w dowolnym momencie i bez ostrzeżenia. Ktoś, kto uzyska jakieś kłopotliwe zdjęcia czy inny materiał z Tobą w roli głównej, może sporo namieszać Ci w życiu.

Konfiguracja: Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Aparat

Kontakty

Do czego służy. Możliwość odczytu, zmiany i dodawania kontaktów w książce adresowej, a także uzyskiwanie dostępu do listy kont zarejestrowanych w smartfonie.

Jakie stwarza zagrożenie. Dzięki temu uprawnieniu aplikacja może wysłać całą Twoją książkę adresową na swój serwer. Uprawnienia tego nadużywają nawet legalne aplikacje, nie wspominając o oszustach i spammerach.

Ponadto uprawnienie to umożliwia dostęp do listy kont w aplikacjach na urządzeniu, w tym do serwisów Google, Facebook i wielu innych.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Kontakty 

Lokalizacja

Do czego służy. Możliwość uzyskiwania dostępu do lokalizacji — w przybliżeniu (na podstawie danych z mobilnych stacji bazowych i punktów dostępowych sieci Wi-Fi) i precyzyjnie (na podstawie danych z sygnału GPS i GLONASS).

Jakie stwarza zagrożenie. Umożliwia aplikacji śledzenie Twojego poruszania się.

Śledzenie trasy, jaką pokonuje smartfon, ujawnia m.in., gdzie jego właściciel mieszka (lokalizacja w nocy) czy pracuje (lokalizacja w dzień).

Nawet jeśli nie przeszkadza Ci, że aplikacje śledzą Twoje ścieżki, które pokonujesz, zastanów się nad jeszcze jednym aspektem: geolokalizacja znacząco zużywa baterię. Zatem im mniejszej liczbie aplikacji nadasz to uprawnienie, tym dłuższy będzie czas między kolejnymi ładowaniami smartfona.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Lokalizacja

Mikrofon

Do czego służy. Możliwość nagrywania dźwięku przez wbudowany w smartfon mikrofon.

Jakie stwarza zagrożenie. Dzięki temu uprawnieniu aplikacje mogą nagrywać wszystko, co dzieje się w pobliżu telefonu. Czyli wszystkie połączenia i rozmowy osobiste.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Mikrofon

Czujniki na ciele

Do czego służy. Możliwość uzyskiwania dostępu do danych pochodzących z czujników monitorujących stan zdrowia, np. czujników tętna.

Jakie stwarza zagrożenie. Umożliwia aplikacjom monitorowanie funkcji życiowych przy użyciu danych z czujników, np. z opaski fitnessowej (w kategorii tej nie znajdują się wbudowane w smartfon czujniki ruchu). Dane takie mogą zostać wykorzystane np. przez organizacje działające w branży zdrowotnej do wyceny kosztu ubezpieczenia.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Czujniki na ciele

Pamięć wewnętrzna

Do czego służy. Możliwość odczytu i zapisu plików w pamięci współdzielonej smartfonu. W systemie Android każda aplikacja ma własną niewielką pamięć, do której tylko ona ma dostęp. Do pozostałego obszaru pamięci mogą uzyskiwać dostęp wszystkie aplikacje posiadające to uprawnienie.

Jakie stwarza zagrożenie. Umożliwia aplikacjom przeglądanie wszystkich Twoich plików. Na przykład może ona oglądać wszystkie Twoje zdjęcia (również TE z wakacji, które raczej nie są przeznaczone dla obcych) i przesyłać je na własny serwer. Albo zaszyfrować Twoje pliki i żądać okupu za odszyfrowanie ich.

Uprawnienie to niesie ze sobą jeszcze inne zagrożenie: wiele aplikacji używa pamięci współdzielonej do tymczasowego przechowywania dodatkowych modułów i aktualizacji pobieranych z internetu, przez co są podatne na infekcje przez szkodliwe aplikacje. Nazywa się to atakiem typu Man-in-the-Disk.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Pamięć wewnętrzna 

Telefon

Do czego służy. Możliwość wyświetlania i modyfikowania historii połączeń; zdobycie Twojego numeru telefonu, podgląd danych przesyłanych w ramach sieci komórkowej oraz stanu połączeń wychodzących; włączenie poczty głosowej; dostęp do usług telefonii IP; wyświetlanie wybieranych numerów z możliwością kończenia połączeń lub przekierowywania ich na inny numer; wykonywanie połączeń na dowolny numer.

Jakie stwarza zagrożenie. Zasadniczo uprawnienie to umożliwia aplikacji zrobienie wszystkiego, co tylko chce, przy użyciu komunikacji głosowej. Może ona dowiedzieć się, kiedy i na jaki numer dzwoniłeś lub uniemożliwić wykonywanie połączeń (na konkretny numer lub ogólnie) poprzez ciągłe zrywanie połączenia. Może podsłuchiwać rozmowy i, oczywiście, dzwonić wszędzie na Twój koszt.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Uprawnienia aplikacji -> Telefon

Uprawnienia konfigurowalne na liście Specjalny dostęp do aplikacji

Powyższa sekcja dotyczy uprawnień aplikacji w zakresie uzyskiwania dostępu do danych osobowych. Jest jednak jeszcze jedna lista uprawnień — obejmująca dostęp do różnych funkcji Androida. Jeśli uprawnienia te zostaną nadane szkodliwej aplikacji, mogą wyrządzić wiele szkody — zatem warto uważać podczas ich przydzielania.

Są one umiejscowione głęboko w ustawieniach i w miejscach raczej nieoczywistych, zatem aby zrozumieć, jak są one używane i jakie mogą nieść ze sobą konsekwencje, użytkownik musi wiedzieć, jak działają szkodliwe programy dla Androida i urządzeń mobilnych. Aby ułatwić zrozumienie tego tematu, postaramy się wszystko wyjaśnić.

Optymalizacja baterii

Do czego służy. Nowe wersje Androida mocno ograniczają aplikacjom możliwość działania w tle, co ma głównie pomóc w oszczędzaniu baterii. Wobec tego producenci, których aplikacje muszą mieć możliwość dziania w tle (odtwarzacze muzyczne, aplikacje fitnessowe, a także antywirusy), mają taką możliwość. Jednak w tym celu muszą zapytać użytkownika o zgodę, aby mogły zostać dodane do wyjątków funkcji odpowiedzialnej za optymalizację baterii.

Jakie stwarza zagrożenie. Aplikacje służące do szpiegowania również mogą chcieć działać w tle w celu monitorowania poruszania się użytkownika. Dlatego uprawnienie to należy przydzielać z ostrożnością, a lista aplikacji, które mogą swobodnie działać w tle, powinna być okresowo sprawdzana.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Optymalizacja baterii -> Bez optymalizacji 

Aplikacje do zarządzania urządzeniem

Do czego służy. Możliwość nadawania aplikacjom uprawnień korzystania z funkcji administratora zdalnego. Pierwotnie celem tych funkcji było umożliwienie firmowym działom IT poprawne skonfigurowanie należących do pracowników smartfonów w sposób zdalny, bez fizycznego kontaktu.

Jakie stwarza zagrożenie. Uprawnienie to umożliwia aplikacji zmianę hasła w smartfonie, wymuszenie blokady ekranu, wyłączenie aparatu, a nawet usunięcie wszystkich danych. Oprócz tego aplikacja z takim uprawnieniem może uniemożliwiać jej usunięcie, a szkodliwe programy uwielbiają ją za to, że mogą w niej schować się w systemie. Zatem uprawnienie to należy przyznawać tylko wtedy, gdy mamy stuprocentowe zaufanie co do aplikacji.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Aplikacje do zarządzania urządzeniem

Dostęp do trybu „Nie przeszkadzać”

Do czego służy. W najnowszych wersjach systemu Android znajduje się funkcja Nie przeszkadzać, która ma wiele opcji: umożliwia wyłączenie dźwięków połączeń głosowych i wiadomości oraz wibracji, jak również ukrycie powiadomień aplikacji. Ponadto można zaplanować automatyczne włączanie tego trybu i skonfigurowanie wyjątków (dla wszystkich lub ulubionych kontaktów), dzięki czemu nadejście określonych połączeń i wiadomości nie jest sygnalizowane. Uprawnienie to umożliwia aplikacjom zmienianie ustawień tego trybu.

Jakie stwarza zagrożenie. Szkodliwa aplikacja może włączyć tryb „Nie przeszkadzać” według własnych potrzeb, przez co właściciel smartfonu może pominąć istotne połączenia lub wiadomości — np. telefon z banku w związku z jakąś podejrzaną transakcją.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Dostęp do „Nie przeszkadzać”

Wyświetlanie nad innymi aplikacjami

Do czego służy. Uprawnienie to umożliwia aplikacji wyświetlanie własnych okien na wierzchu każdej innej aplikacji.

Jakie stwarza zagrożenie. Szkodliwe aplikacje mogą ukryć ważne ostrzeżenia, jak również nakładać fałszywe formularze służące do wprowadzania informacji związanych z kartą płatniczą czy haseł na wierzchu okien legalnych aplikacji. Uprawnienie to jest jednym z dwóch kluczowych mechanizmów używanych w tzw. atakach Cloak & Dagger.

Ponadto uprawnienie to jest często używane przez oprogramowanie reklamowe do wyświetlania użytkownikom reklam, jak również przez programy blokujące i ransomware, które nakładają na interfejs telefonu własne okno i żądają okupu za przywrócenie dostępu do telefonu.

Ogólnie większość aplikacji nie powinna mieć przyznanego tego uprawnienia.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Wyświetlanie nad innymi aplikacjami

Usługi pomocnicze rzeczywistości wirtualnej

Do czego służy. Uprawnienie to umożliwia aplikacjom uzyskanie dostępu do aplikacji i urządzeń rzeczywistości wirtualnej, jak również zapewnia możliwość uruchamiania w tle, gdy użytkownik włączy aplikacje rzeczywistości rozszerzonej.

Jakie stwarza zagrożenie. Oprócz możliwości działania w tle, co bardzo lubią szkodliwe programy, uprawnienie to nie stwarza jakiegoś ogromnego zagrożenia. Jednak mimo wszystko zalecamy na wszelki wypadek nie nadawać go aplikacjom, które nie mają nic wspólnego z rzeczywistością wirtualną.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Usługi pomocnicze rzeczywistości wirtualnej

Modyfikowanie ustawień systemu

Do czego służy. System Android ma dwa rodzaje ustawień systemowych: zwykłe i globalne. Należy przy tym podkreślić, że wszystkie ustawienia, które mogą stwarzać stosunkowo duże zagrożenie, zostały przeniesione do tej drugiej kategorii, a w drugiej znajdują się opcje drugorzędne, takie jak zmiana jasności czy poziomu dźwięku. Prawo modyfikowania uprawnień systemowych umożliwia aplikacjom zmianę ustawień zwykłych, ale nie globalnych.

Jakie stwarza zagrożenie. Brzmi poważnie, jednak w rzeczywistości to dosyć nieszkodliwe uprawnienie. W ustawieniach tych nie ma nic, co mogłoby stwarzać niebezpieczeństwo.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Modyfikowanie ustawień systemu

Dostęp do powiadomień

Do czego służy. Uprawnienie to służy do przetwarzania powiadomień. Na przykład system Google Wear potrzebuje go do przekazywania powiadomień do smartwatcha. Jest ono również używane przez launchera — „aplikację domową” Androida — w celu wyświetlania powiadomień na ekranie obok ikon odpowiednich aplikacji.

Jakie stwarza zagrożenie. Z powiadomień korzysta wiele poufnych informacji (wiadomości SMS i przesyłane w ramach komunikatorów). Jeśli aplikacja szpiegująca lub trojan bankowy będą mieć dostęp do wspomnianych informacji, mogą dowiedzieć się o czymś, co miało zostać tajemnicą. Uprawnienie to nie może zostać nadawane wszystkim aplikacjom bez uzasadnienia.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Dostęp do powiadomień

Obraz w obrazie

Do czego służy. Android umożliwia aplikacjom przenoszenie obrazu w trybie „obraz w obrazie” (ang. picture-in-picture, PIP), w którym małe okno pojawia się w prawym dolnym rogu ekranu na wierzchu okna innej aplikacji.

Jakie stwarza zagrożenie. Podobnie jak w przypadku uprawnienia Wyświetlaj na wierzchu innych aplikacji. Na przykład szkodliwa aplikacja może go użyć do ukrycia ważnego powiadomienia, a adware do wyświetlania reklam. Uprawnienie PIP powinno być nadawane tylko tym aplikacjom, którym naprawdę ufasz.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Obraz w obrazie

Dostęp do SMS-ów specjalnych

Do czego służy. Google ma listę numerów usług SMS o podwyższonej opłacie (premium) w różnych krajach na całym świecie. Jeśli aplikacja próbuje wysłać SMS-a na numer z tej listy, system pyta użytkownika o pozwolenie.

Jakie stwarza zagrożenie. Wiele rodzin szkodliwych programów zarabia na ukradkowym zapisywaniu użytkowników do usług SMS premium. Nie wiadomo dokładnie, na ile kompletna jest lista Google’a, ale prawdopodobnie chroni co najmniej przed najbardziej powszechnymi trojanami zapisującymi do subskrypcji.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Dostęp do SMS-ów specjalnych

Nieograniczony dostęp do danych

Do czego służy. Aby zaoszczędzić dane mobilne i baterię, Android umożliwia skonfigurowanie, które aplikacje mogą używać transferu danych w tle (można to dostosować dla każdej aplikacji oddzielnie).

Ponadto Android ma najbardziej rygorystyczny tryb Oszczędzania danych (Ustawienia -> Sieć i Internet -> Użycie danych -> Oszczędzanie danych). Po włączeniu tego trybu przesyłanie danych w tle zostaje wyłączone dla większości aplikacji. Aby aplikacja nadal miała dostęp do przesyłania danych w sytuacji, gdy opcja Oszczędzanie danych jest aktywna, musi poprosić o nadanie jej tego uprawnienia.

Jakie stwarza zagrożenie. Możliwości przesyłania danych w tle, gdy ten tryb jest aktywny, zwykle wymagają tylko aplikacje służące do komunikowania się (komunikatory, klienty poczty e-mail, sieci społecznościowe), aby umożliwiać szybkie dostarczanie wiadomości.

Jeśli tego uprawnienia żąda aplikacja, która nie ma nic wspólnego z komunikacją, zastanów się, czy jesteś gotowy na ewentualne bycie szpiegowanym.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Nieograniczony dostęp do danych

Dostęp do danych o użyciu

Do czego służy. Uprawnienie to umożliwia aplikacjom uzyskiwanie dostępu do metadanych urządzenia: na przykład których aplikacji używasz i jak często, kto jest Twoim operatorem, jaki jest ustawiony język telefonu itd.

Jakie stwarza zagrożenie. Uprawnienie to nie daje aplikacji żadnych danych prywatnych. Jednak dane pośrednie na temat użytkowania smartfonu mogą zostać wykorzystane do utworzenia Twojego dosyć dokładnego i unikatowego cyfrowego odcisku palca, który w pewnych okolicznościach może okazać się przydatny.

Ponadto funkcja ta jest używana przez trojany bankowe do sprawdzania, która aplikacja aktualnie działa, i nakładania na nią okien phishingowych przygotowanych specjalnie pod jej kątem.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Dostęp do danych o użyciu

Instalowanie nieznanych aplikacji

Do czego służy. Zasadniczo jest to taka sama funkcja jak opcja Instaluj z nieznanych źródeł znana z wcześniejszych wersji Androida. Różnica polega na tym, że kiedyś można było zaznaczyć istniało tylko jedno pole do zaznaczania, tymczasem system Android 8 zawiera bardziej skomplikowane ustawienia. Teraz poszczególne aplikacje mogą żądać uprawnień do instalowania innych aplikacji, a każdy przypadek możesz zaakceptować lub zablokować. Na przykład możesz nadać to uprawnienie wyłącznie menedżerowi plików (co, nawiasem mówiąc, nie jest zalecane).

Jakie stwarza zagrożenie. Szkodliwe aplikacje zdarzają się czasami nawet w sklepie Google Play. Jak sobie nietrudno wyobrazić, jeśli chodzi o programy pobierane nie wiadomo skąd, sytuacja wygląda jeszcze gorzej. Wobec tego zalecamy zablokowanie uprawnienia Instaluj nieznane aplikacje dla wszystkich aplikacji znajdujących się na smartfonie — a zwłaszcza dla przeglądarki. W ten sposób ochronisz się przed automatycznym pobieraniem i instalacją szkodliwego oprogramowania ze szkodliwych stron.

Jeśli naprawdę musisz coś zainstalować spoza oficjalnego sklepu (zastanów się najpierw dwa razy), nie zapominaj o przywróceniu blokady, gdy aplikacja zostanie zainstalowana. I zawsze skanuj nieznane aplikacje skutecznym antywirusem, takim jak Kaspersky Internet Security for Android, który możesz zainstalować nieodpłatnie.

Konfiguracja.  Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Specjalny dostęp do aplikacji -> Instalowanie nieznanych aplikacji

Uprawnienia konfigurowane indywidualnie

Poza sekcją ustawień Uprawnienia aplikacji i Specjalny dostęp do aplikacji system Android 8 ma jeszcze kilka innych ważnych uprawnień, o których musisz wiedzieć. Jeśli zostaną one nadużyte, mogą stwarzać jeszcze większe zagrożenie niż te, które omówiliśmy w dwóch poprzednich sekcjach. Z tego powodu nigdy nie wolno przyznawać ich losowym aplikacjom.

Dostępność

Do czego służy. Potężny zestaw opcji początkowo utworzony w celu ułatwienia życia użytkownikom niedowidzącym. Na przykład opcja ta umożliwia aplikacji dostęp do wszystkiego, co dzieje się na ekranie, aby użytkownik mógł wydawać polecenie głosowe za pomocą interfejsu graficznego.

Jakie stwarza zagrożenie. Ten zestaw funkcji umożliwia aplikacjom uzyskiwanie dostępu do tego, co się dzieje w innych aplikacjach, co narusza stosowaną w Androidzie zasadę izolacji.

Szkodliwa aplikacja może użyć funkcji Dostępność do śledzenia tego, co robisz, a ponadto może ona działać bez ograniczeń w obrębie interfejsu graficznego — czyli klikać wszystkie przyciski. Może na przykład zmieniać ustawienia, potwierdzać działania, a nawet kupować aplikacje w sklepie Google Play. Ten zestaw funkcji to jeden z dwóch kluczowych mechanizmów stosowanych w atakach Cloak & Dagger.

Konfiguracja. Ustawienia -> Dostępność.

Żądanie tego uprawnienia nie zawsze jest wyraźną oznaką szkodliwej działalności. Niektóre legalne aplikacje korzystają z niego w dobrej wierze. Na przykład antywirusy na urządzenia mobilne potrzebują go w celu wykrywania podejrzanego zachowania w innych aplikacjach, zanim wydarzy się jakiś incydent. Jednak ogólnie mówiąc, zanim nadasz jakiejś aplikacji to uprawnienie, lepiej dobrze to przemyśl — konsekwencje mogą być poważne.

Domyślne aplikacje

Do czego służy. Kolejna lista uprawnień zastosowanych jako oddzielna sekcja ustawień, na którą warto zwrócić szczególną uwagę. System Android ma zestaw aplikacji domyślnych używanych do kluczowych funkcji smartfonów:

• Asystent i rozpoznawanie mowy — domyślna aplikacja voice-controlled assistant app, jak np. Google Assistant
• Przeglądarki — aplikacja służąca do wyświetlania stron internetowych.
• Aplikacja ekranu głównego (zwana również launcherem) — powłoka graficzna, która obsługuje menu aplikacji, pulpit, widgety itd.
• Aplikacja Telefon — aplikacja służąca do realizowania połączeń.
• Aplikacja do SMS-ów — służąca do wszystkich celów związanych z SMS-owaniem.

Aby aplikacja stała się domyślna, musi poprosić o to użytkownika i uzyskać jego zgodę.

Jakie stwarza zagrożenie. Wiele trojanów bankowych bardzo chciałoby być domyślną aplikacją SMS, dzięki czemu mogłyby ukrywać powiadomienia na temat wypłat z kont bankowych i kraść jednorazowe kody potwierdzające.

Taki schemat działania dopracowywano do perfekcji w odniesieniu do większości trojanów bankowych i jest on często wykorzystywany przez cyberprzestępców. Aplikacji domyślnych można użyć do wielu różnych nieprzyjemnych działań, zatem warto przemyśleć, czy konkretna aplikacja może być ustawiona jako domyślna.

Konfiguracja. Ustawienia -> Aplikacje i powiadomienia -> Zaawansowane -> Domyślne aplikacje.

Uprawienia roota

Do czego służy. Superużytkownik jest jak superohater: osoba mająca supermoc, jeśli ma przy tym określone umiejętności, może ominąć wiele mechanizmów ochronnych w systemie Android i zrobić w systemie wszystko, co zechce. Na zrootowanym smartfonie (tym z uprawnienia superużytkownika) można zmieniać dowolne ustawienia, uzyskiwać dostęp do wszystkich plików (w tym plików systemowych), usuwać i instalować wszelkie aplikacje z dowolnego źródła, instalować dowolne oprogramowanie układowe i podejmować wiele innych działań.

Jakie stwarza zagrożenie. Uprawnienia roota dają supermoc nie tylko użytkownikowi; uzyskują je również wszystkie aplikacje zainstalowane w smartfonie. Mogą one wykorzystać tę sytuację do kradzieży danych przechowywanych na urządzeniu, szpiegować czy prowadzić inną niepożądaną aktywność.

Wszystkie wspomniane wyżej uprawnienia dają dostęp do określonych danych i funkcji, które są ogólnie przeznaczone dla systemu Android, tymczasem uprawnienia roota umożliwiają dostęp do danych i funkcji, do których nikt nigdy nie miał mieć dostępu. Nie trzeba wspominać, że aplikacja z dostępem roota może automatycznie konfigurować wszystkie uprawnienia według własnego uznania.

Dlatego dobrze się zastanów, zanim przeprowadzisz taką akcję na swoim smartfonie. Jeśli do systemu przedostanie się szkodliwy program potrafiący wykorzystać uprawnienia roota, konsekwencje mogą być znacznie gorsze niż w przypadku, gdy urządzenie nie zostało poddane rootowaniu. Więcej informacji znajdziesz w naszym poście Rootowanie Androida: plusy, minusy i haczyki.

Oprócz tego nawet jeśli nie poddasz swojego smartfona rootowaniu, ktoś inny może to zrobić za Ciebie. Na przykład jeśli na urządzeniu jest instalowane oprogramowanie do szpiegowania, jego producent od razu zaleca, a nawet wymaga nadania programowi uprawnień roota. Co więcej, niektóre trojany potrafią uzyskiwać te uprawnienia poprzez wykorzystanie luk w Androidzie. Warto od czasu do czasu sprawdzić, czy smartfon nie został zrootowany bez wiedzy właściciela.

Konfiguracja. Nabycie praw superużytkownika nie jest standardową funkcją Androida i nie może zostać dopasowane z poziomu systemu operacyjnego. Co więcej, tego, czy telefon został zrootowany, nawet nie można sprawdzić przy użyciu standardowych narzędzi dostępnych w systemie. Zamiast tego należy użyć jednej z kilku aplikacji, która powstała specjalnie z myślą o sprawdzeniu dostępu na poziomie roota (jednak tę aplikację również warto wybrać z rozwagą).

Jeśli podczas sprawdzenia okaże się, że smartfon został zrootowany, ale użytkownik nie miał z tym nic wspólnego, to wyraźny znak, że czyha w nim coś niepożądanego. Może pobrany został trojan, a może ktoś zainstalował aplikację do szpiegowania, aby mieć na Ciebie oko. W takiej sytuacji zalecamy zapisanie plików osobistych w innym miejscu i usunięcie z urządzenia dostępu na poziomie roota — na różnych telefonach robi się to w inny sposób.

Jak skonfigurować uprawnienia aplikacji

Uprawnienia aplikacji w Androidzie można skonfigurować na kilka sposobów. Po pierwsze, aplikacje żądają uprawnień, gdy będą używane odpowiednie funkcje — możesz je zaakceptować lub zablokować. W systemie Android 8 takie żądania wyglądają mniej więcej tak:

Po drugie, można użyć grup uprawnień, aby wyświetlić pełną listę aplikacji, które żądały, mogą żądać lub już otrzymały określone uprawnienie. Jeśli wśród nadanych uprawnień coś wygląda podejrzanie, możesz je natychmiast wycofać. Szczegółowe informacje na temat tego, w jakim miejscu się to znajduje, umieściliśmy powyżej.

Po trzecie, inną opcją jest sprawdzenie, jakie uprawnienia ma każda zainstalowana aplikacja i czego może kiedyś zażądać. Tutaj także masz możliwość wycofania dowolnego uprawnienia aplikacji, jeśli coś Ci się nie spodoba — ale pamiętaj, że w efekcie może się zdarzyć, że aplikacja nagle przestanie poprawnie działać.

A przy okazji: ustawienia w systemie Android 8 mają przydatny system wyszukiwania dowolnego elementu w menu ustawień (o ile wiesz, jak się nazywa), w tym strony ustawień dla każdej aplikacji, którą można znaleźć, wpisując jej nazwę.

Wnioski

Jak widać, system Android 8 można z łatwością i elastycznie skonfigurować w celu ochrony swoich najcenniejszych informacji, zablokowania możliwości nadmiernego zużycia danych przez aplikacje czy zabezpieczenia dostępu do najbardziej wrażliwych funkcji systemu operacyjnego. Korzystaj z tej elastyczności, zawsze zastanawiaj się nad konsekwencjami nadawania określonych uprawnień i nie bój się odmawiać dostępu, jeśli coś wygląda podejrzanie.

W wielu przypadkach aplikacje żądają uprawnień, których w rzeczywistości nie potrzebują do działania. Nie przejmuj się — jeśli odmówisz, nic strasznego się nie stanie.

„Potrzebuję twojego ubrania, twoich butów i twojego motocykla”.

„Nie”.

„OK, przepraszam. Miłego dnia.”