安卓应用权限须知

面对恶意软件,Android有一个非常不错的防御机制 — 应用权限系统。此系统定义了允许(或不允许)应用执行的一组操作。

面对恶意软件,安卓有一个非常不错的防御机制 — 应用权限系统。此系统定义了允许(或不允许)应用执行的一组操作。默认情况下,所有安卓应用都在沙箱(一种隔离的环境)中运行。如果应用想要访问、编辑或删除沙箱外部的数据,则需得到系统授权才能这样做。

权限分为好几类,但在此我们只讨论其中两类:标准权限和危险权限。标准权限涵盖访问互联网、创建图标、蓝牙连接等操作。这些权限会默认授予,不需要用户批准。

如果应用程序需要某个”危险”权限,则需要用户确认。那么,为什么有些权限被认为是危险的呢?在哪些情况下应该授予这类权限呢?

危险权限

“危险”类别包括九个权限组,通过这些权限组,应用以某种方式与用户的隐私或安全性联系在一起。反过来说,每个组都包含应用可以请求的若干权限。

如果用户批准其中一个权限,应用将自动获取同一组中的所有权限,而无需另外进行确认。例如,如果应用获取了读取短信的权限,则还能从该组中获取发送短信、读取彩信以及执行其他操作的权限。

日历

许可操作:

  • 读取日历中存储的事件(READ_CALENDAR)。
  • 编辑旧事件和创建新事件(WRITE_CALENDAR)。

危险性:如果您经常使用数字日程管理器,则该应用会掌握您日常生活中的一切活动,并可能会与犯罪分子共享。此外,有漏洞的应用可能会导致意外从日历中擦拭重要会议。

摄像头

许可操作:

  • 摄像头调用权限(CAMERA)允许应用使用您的手机拍照和录制视频。

危险性:应用可以随时偷偷录制视频或拍照。

通讯录

许可操作:

  • 读取联系人(READ_CONTACTS)。
  • 编辑联系人或添加新联系人(WRITE_CONTACTS)。
  • 访问帐户列表(GET_ACCOUNTS)。

危险性:应用可以获取您的整个通讯录。这些数据对垃圾邮件发送者和欺诈者非常有吸引力。此权限还允许访问您在此设备上各应用中使用的所有帐户的列表 – Google、Facebook、Instagram等等。

位置

许可操作:

  • 访问您的大概位置(ACCESS_COARSE_LOCATION),此位置根据蜂窝基站和Wi-Fi热点中的数据提供。
  • 访问您的确切位置(ACCESS_FINE_LOCATION),此位置根据GPS数据提供。
  • 危险性:应用总是知道您所在的位置。例如,这可能会让窃贼知道你离家很远。

麦克风

许可操作:

  • 通过麦克风录制音频(RECORD_AUDIO)。

危险性:应用可以通过麦克风记录手机附近发生的一切活动。您的所有对话。不仅仅是打电话时的电话录音,而是全天所有交谈内容。

电话

许可操作:

  • 读取电话状态(READ_PHONE_STATE),让应用知道您的电话号码、当前蜂窝网络信息、任何接听中电话的状态等。
  • 拨打电话(CALL_PHONE)。
  • 读取呼叫列表(READ_CALL_LOG)。
  • 更改呼叫列表(WRITE_CALL_LOG)。
  • 添加语音邮件(ADD_VOICEMAIL)。
  • 使用IP语音(USE_SIP)。
  • 处理外拨电话权限(PROCESS_OUTGOING_CALLS)允许应用查看主叫方、挂断电话或将电话重定向到其他号码。

危险性:授予手机权限时,即允许应用执行几乎所有与语音通讯相关的操作。该应用会知道何时打电话以及和谁打电话 — 应用可以在任意位置拨打电话,包括付费电话,而电话帐单却由您支付。

人体感应器

许可操作:

  • (BODY_SENSORS)— 此权限允许从某些传感器(如心率监测器)调用您的健康数据。

危险性:如果您将配件与人体感应器(不是手机的内置运动传感器)一起使用,应用会接收到与您身体变化相关的数据。

短信

许可操作:

  • 发送短信(SEND_SMS)。
  • 读取保存的短信(READ_SMS)。
  • 接收短信(RECEIVE_SMS)。
  • 接收WAP推送消息(RECEIVE_WAP_PUSH)。
  • 接收传入的彩信(RECEIVE_MMS)。

危险性:此权限允许应用程序接收和读取传入的短信,以及发送短信(当然费用由您支付)。例如,犯罪分子可以利用此权限来订阅受害者不需要的付费服务。

存储器

许可操作:

  • 读取存储卡或其他存储器(READ_EXTERNAL_STORAGE)。
  • 将记录保存到存储器或存储卡(WRITE_EXTERNAL_STORAGE)。

危险性:应用可以读取、更改或删除存储在手机上的任何文件。

如何设置应用的权限

如果应用要求的权限十分可疑,则根本不应该安装该应用, 或者至少拒绝授予这些权限。

您应该认真考虑授予的每一种权限。例如,如果游戏或照片编辑工具要访问您当前的位置,这就很奇怪。同时,地图和导航器确实需要GPS数据,但不应该有权访问通讯录或短信。

在Android 6及更高版本中,当应用需要其中一个危险权限时,会要求用户批准。如果您不想授予这些权限,那么可以随时拒绝该请求。当然,如果应用确实需要这些权限,那么拒绝授予权限会导致显示错误消息,应用将无法正常工作。

您还可以检查权限列表并更改任何应用程序的权限。首先,选择设置 → 应用(这些选项和以下菜单项在您的安卓版本中名称可能略有不同)。

 

现在你可以选择两种方式中的一种来进行设置。首先,可以检查分配给某个应用的所有权限。为此,请点击该应用的名称,然后选择权限。

接着,可以查看已请求的应用的完整列表,或者可以请求其中一个危险权限。例如,最好检查哪些应用需要访问您的通讯录,并禁止可疑程序获得通讯录访问权限。为此,请选择配置应用(右上角的齿轮图标),然后单击应用权限。

特殊访问权限

除了危险权限外,应用还可能会请求特殊访问权限。发生这种情况时,您应该警惕:木马经常会要求授予这类权限。

辅助功能

此权限可简化视力或听力有障碍的用户使用应用和设备的工作。恶意软件可能会滥用这些功能。

获得这类访问权限后,木马可以拦截来自应用的数据(包括输入文本 – 在此密码是主要目标)。此外,恶意软件还能在谷歌商店中购买应用。

默认短信应用

银行木马的目标是成为默认短信应用;这样就有权读取短信并隐藏短信 — 甚至在安卓的更高版本中也能做到这一点。例如,木马可以使用此功能拦截短信中的银行密码,并在用户不知情的情况下确认恶意交易(请记住,他们可以隐藏短信)。

总在最前

通过允许覆盖其他应用窗口的权限,特洛伊木马能在合法应用(主要是移动银行或社交网络应用)页面之上显示钓鱼窗口。受害者以为是在真正应用的表单中输入密码,但实际上这一切是发生在木马显示的假窗口中,随后敏感数据就流入了犯罪分子手中。

设备管理员权限

这些权限允许用户更改密码、锁定摄像头或擦除设备中的所有数据。恶意应用通常会尝试取得这类权限;具有管理员权限的应用很难卸载。

根用户权限

这些是最危险的权限。默认情况下,安卓从不授予应用这些权限,但一些木马可以利用系统漏洞来获取这些权限。一旦发生这种情况,其他所有防御再无用武之地 — 恶意软件利用根用户权限想干什么就能干什么,不管受害者分配或拒绝哪些权限,都不再有用。

值得注意的是,即使是新的权限系统(Android 6中发布的)也做不到完全免受恶意软件入侵。例如,Gugi网银木马会反复向受害者发出窗口覆盖权限请求,直到获得授权。此后,恶意软件会覆盖其他所有应用,直到获得所需的其他权限。

结论

不应该允许应用在手机上执行其想执行的所有操作 — 尤其是应用没有理由需要危险权限时。

然而,一些应用确实需要很多权限。例如,反病毒程序需要许多权限才能扫描系统,主动保护系统免受威胁。

在此结论很简单:在授予特定权限之前,请先思考下应用是否确实需要。如果不确定,请先做一些网上调查。

最后但同样重要的是:即便最警惕的用户也不可能完全杜绝恶意软件利用系统漏洞入侵。所以妥善管理应用权限非常重要,这有助于保护您的隐私,避免被应用窥探;此外,安装可靠的安全软件将保护您的设备,防御更危险的木马和病毒。

No More Ransom正定胜邪

现在被勒索软件劫持后,要想拿回数据可能比以前更难。攻击者在不断修复”漏洞”,像卡巴斯基实验室等公司及其合作伙伴正是利用这些漏洞开发出通用工具,帮助受到各种勒索软件威胁攻击的文件解密。

提示