Η προσβασιμότητα είναι απαραίτητη για τους χρήστες· ο κίνδυνος προκύπτει από την αδικαιολόγητη παραχώρηση πρόσβασης και την κατάχρησή της.
Το κακόβουλο λογισμικό δεν χρειάζεται πάντα να σπάσει την κρυπτογράφηση μηνυμάτων. Αν αποκτήσει πρόσβαση σε δεδομένα που επεξεργάζεται η συσκευή για εμφάνιση ή εισαγωγή, μπορεί να δει περιεχόμενο πριν από την κρυπτογράφηση ή μετά την αποκρυπτογράφηση. Η κατάχρηση προσβασιμότητας και τα επικαλυπτόμενα παράθυρα είναι δύο παραδείγματα, αλλά δεν έχουν τον ίδιο μηχανισμό.
Επίσης, δεν είναι κακόβουλη κάθε εφαρμογή με Accessibility ή αιωρούμενο παράθυρο. Οι αναγνώστες οθόνης και τα βοηθητικά εργαλεία είναι απαραίτητα για πολλούς χρήστες. Στόχος είναι η συνειδητή παραχώρηση πρόσβασης και η μείωση της κατάχρησης, όχι η κατάργηση της προσβασιμότητας.
Τρεις απειλές που δεν πρέπει να συγχέουμε
| Μέθοδος | Τι κάνει ο επιτιθέμενος; | Τι δεν πρέπει να θεωρούμε δεδομένο; |
|---|---|---|
| Ψεύτικο παράθυρο ή φόρμα | Παρακινεί τον χρήστη να εισαγάγει πληροφορίες σε διεπαφή που μοιάζει με την κανονική εφαρμογή | Δεν διαβάζει κάθε Overlay αυτόματα το κείμενο του υποκείμενου παραθύρου |
| Υφαρπαγή κλικ ή Tapjacking | Εξαπατά τον χρήστη ώστε να αγγίξει άλλο στοιχείο ελέγχου | Ένα διαφανές επίπεδο δεν σημαίνει καταγραφή όλων των πλήκτρων |
| Κατάχρηση υπηρεσίας Accessibility | Χρησιμοποιεί επιτρεπόμενες δυνατότητες της υπηρεσίας για παρατήρηση ή ενέργειες | Η πρόσβαση σε όλες τις προβολές δεν είναι ίδια σε όλες τις εκδόσεις |
Ο επίσημος οδηγός Tapjacking διακρίνει την πλήρη από τη μερική κάλυψη της διεπαφής. Ο τύπος παραθύρου, η έκδοση Android και οι ρυθμίσεις της εφαρμογής επηρεάζουν το αποτέλεσμα.
Πώς μπορεί το Accessibility να φτάσει σε ευαίσθητα δεδομένα;
Μια υπηρεσία προσβασιμότητας μπορεί, εντός των δυνατοτήτων της, να λαμβάνει πληροφορίες διεπαφής ή να ενεργεί για τον χρήστη. Μια κακόβουλη υπηρεσία μπορεί να καταχραστεί αυτή τη δυνατότητα. Επομένως, η ενεργοποίησή της για εφαρμογή χωρίς σαφή λόγο δεν είναι ασήμαντη απόφαση.
Ωστόσο, ο ισχυρισμός «κάθε υπηρεσία μπορεί να διαβάσει όλο το κείμενο κάθε εφαρμογής» είναι υπερβολικά απόλυτος. Έχουν σημασία η δομή των προβολών, ο τρόπος παρουσίασης δεδομένων και οι περιορισμοί του λειτουργικού συστήματος. Το Android παρέχει δυνατότητες όπως το accessibilityDataSensitive για ευαίσθητες προβολές· η χρήση και η συμπεριφορά τους πρέπει να δοκιμάζονται στην έκδοση-στόχο. Η εξήγηση της Google για την προστασία δεδομένων από κακόβουλες υπηρεσίες.
Τι κάνει και τι δεν κάνει το FLAG_SECURE;
Το FLAG_SECURE χρησιμοποιείται για τον περιορισμό στιγμιοτύπων οθόνης και της εμφάνισης περιεχομένου σε μη ασφαλείς εξόδους. Από μόνο του δεν ελέγχει το συμβόλαιο προσβασιμότητας, τις ψεύτικες φόρμες ή όλους τους τρόπους εξαγωγής κειμένου. Η φωτογράφιση της οθόνης με άλλη συσκευή είναι επίσης ξεχωριστό ζήτημα.
Το Android προσφέρει στις εφαρμογές και άλλα εργαλεία, όπως το HIDE_OVERLAY_WINDOWS, για τη μείωση επικαλυπτόμενων παραθύρων. Κανένα δεν πρέπει να παρουσιάζεται ως «κουμπί κατά της κατασκοπείας» χωρίς εξέταση συμβατότητας, περιορισμών έκδοσης και επιπτώσεων σε χρήστες με ανάγκες προσβασιμότητας. Οδηγός προστασίας ευαίσθητων δραστηριοτήτων.
Λίστα ελέγχου αδειών για τον χρήστη
- Στις ρυθμίσεις της συσκευής, εξετάστε χωριστά εφαρμογές με προσβασιμότητα, εμφάνιση πάνω από άλλες εφαρμογές και πρόσβαση σε ειδοποιήσεις. Οι ονομασίες των διαδρομών διαφέρουν ανά κατασκευαστή και έκδοση.
- Για καθεμία, ρωτήστε ποια συγκεκριμένη λειτουργία χρειάζεται αυτή την πρόσβαση. Η πρόσβαση ενός έμπιστου αναγνώστη οθόνης δεν είναι ίδια περίπτωση με εκείνη μιας άγνωστης εφαρμογής φακού.
- Θεωρήστε ένα επείγον αίτημα ενεργοποίησης πρόσβασης μετά την εγκατάσταση άγνωστου αρχείου ένδειξη ότι χρειάζεται περισσότερη εξέταση· ένα αίτημα άδειας από μόνο του δεν αποδεικνύει κακόβουλο λογισμικό.
- Αν η οθόνη σύνδεσης φαίνεται ύποπτη, μην εισάγετε ευαίσθητες πληροφορίες. Ανοίξτε την εφαρμογή με τον συνηθισμένο σας τρόπο και ελέγξτε τη διεύθυνση ή την πηγή εγκατάστασης.
- Αφού ανακαλέσετε περιττή πρόσβαση, δοκιμάστε τη λειτουργία των βοηθητικών εργαλείων που χρειάζεστε. Η ασφάλεια δεν πρέπει να κάνει τη συσκευή άχρηστη για τον ιδιοκτήτη της.
Αν θεωρείτε πιθανό να έχει ήδη εκτεθεί ο κωδικός ή η συνεδρία σας, η ανάκληση άδειας δεν αρκεί. Από έμπιστη συσκευή, εξετάστε τις ενεργές συνεδρίες και τις μεθόδους ανάκτησης λογαριασμού και αλλάξτε τους κωδικούς που βρίσκονται σε κίνδυνο.
Τι πρέπει να δοκιμάσει ο προγραμματιστής;
Αξιολογήστε χωριστά οθόνες σύνδεσης, επιβεβαίωσης ενεργειών και εμφάνισης ευαίσθητων πληροφοριών. Δοκιμάστε αγγίγματα υπό επικάλυψη και μερική κάλυψη· δεν αρκεί μόνο δοκιμή στιγμιοτύπου οθόνης. Έπειτα ελέγξτε την ίδια διαδρομή με πραγματικό αναγνώστη οθόνης και βοηθητικό εργαλείο, ώστε η άμυνα να μη διακόπτει τη νόμιμη πρόσβαση.
Στην αναφορά δοκιμής καταγράψτε την έκδοση Android και εφαρμογής, τον τύπο υπηρεσίας, τις άδειες και τα δεδομένα που πράγματι ήταν ορατά. Μια περιορισμένη δοκιμή δεν επιτρέπει συμπεράσματα για όλες τις συσκευές.
Το όριο της κρυπτογράφησης μηνυμάτων
Το μοντέλο απειλών του Livara εξαιρεί μολυσμένες ή ξεκλείδωτες συσκευές από την εγγύηση προστασίας περιεχομένου. Επομένως, το όνομα του αλγορίθμου ή η μετακβαντική ανταλλαγή κλειδιών δεν αποτελούν άμυνα έναντι κάθε κατάχρησης διεπαφής. Αντιμετωπίστε την προστασία της διαδρομής μηνυμάτων, την ακεραιότητα της συσκευής και τον έλεγχο αδειών ως τρεις χωριστούς ελέγχους.
