נגישות חיונית למשתמשים; הסיכון נובע ממתן גישה ללא הצדקה ומניצולה לרעה.
נוזקה לא תמיד צריכה לשבור את הצפנת ההודעות. אם היא מקבלת גישה לנתונים שהמכשיר מעבד לצורך תצוגה או קלט, היא עשויה לראות תוכן לפני הצפנתו או לאחר פענוחו. ניצול לרעה של נגישות וחלונות שכבה הם שתי דוגמאות, אך המנגנונים שלהם אינם זהים.
כמו כן, לא כל יישום בעל Accessibility או חלון צף הוא נוזקה. קוראי מסך וכלי עזר חיוניים למשתמשים רבים. המטרה היא מתן גישה מתוך מודעות וצמצום ניצול לרעה, לא ביטול הנגישות.
שלושה איומים שאין לבלבל ביניהם
| שיטה | מה התוקף עושה? | מה אין להניח? |
|---|---|---|
| חלון או טופס מזויף | גורם למשתמש להזין מידע בממשק הדומה ליישום המקורי | לא כל Overlay קורא אוטומטית את טקסט החלון שמתחתיו |
| חטיפת לחיצות או Tapjacking | מטעה את המשתמש לגעת בפקד אחר | קיום שכבה שקופה אינו אומר שכל המקשים נרשמים |
| ניצול לרעה של שירות Accessibility | משתמש ביכולות המורשות של השירות לצפייה או לביצוע פעולות | הגישה לכל רכיבי התצוגה אינה זהה בכל הגרסאות |
המדריך הרשמי ל־Tapjacking מבחין בין כיסוי מלא לכיסוי חלקי של הממשק. סוג החלון, גרסת Android והגדרות היישום משפיעים על התוצאה.
כיצד Accessibility יכולה להגיע לנתונים רגישים?
שירות נגישות יכול, במסגרת יכולותיו, לקבל מידע מהממשק או לבצע פעולה עבור המשתמש. שירות זדוני עלול לנצל זאת לרעה. לכן הפעלתו עבור יישום שאין לו סיבה ברורה לכך אינה החלטה שולית.
אבל הטענה ״כל שירות יכול לקרוא את כל הטקסט של כל יישום״ גורפת מדי. מבנה רכיבי התצוגה, אופן הצגת הנתונים ומגבלות מערכת ההפעלה חשובים. Android מציעה יכולות כמו accessibilityDataSensitive לרכיבי תצוגה רגישים; יש לבדוק את השימוש בהן ואת התנהגותן בגרסת היעד. הסבר Google על הגנת נתונים מפני שירותים זדוניים.
מה FLAG_SECURE עושה ומה לא?
FLAG_SECURE משמש להגבלת צילומי מסך ולהגבלת הצגת תוכן בפלטים שאינם מאובטחים. הדגל הזה לבדו אינו שולט בחוזה הנגישות, בטפסים מזויפים או בכל הדרכים לחילוץ טקסט. צילום המסך במכשיר אחר הוא גם סוגיה נפרדת.
Android מעמידה לרשות היישום כלים נוספים, כגון HIDE_OVERLAY_WINDOWS, לצמצום חלונות שכבה. אין להציג אף אחד מהם כ״כפתור נגד ריגול״ בלי לבדוק תאימות, מגבלות גרסה והשפעה על משתמשים בעלי צורכי נגישות. מדריך להגנת פעילויות רגישות.
רשימת בדיקה למשתמש לבחינת הרשאות
- בהגדרות המכשיר, עברו בנפרד על יישומים בעלי נגישות, הצגה מעל יישומים אחרים ו־גישה להתראות. שמות הנתיבים משתנים לפי היצרן והגרסה.
- לכל פריט שאלו איזו יכולת מסוימת זקוקה לגישה הזאת. גישה של קורא מסך מהימן אינה זהה למקרה של יישום פנס לא מוכר.
- ראו בבקשה דחופה להפעלת גישה אחרי התקנת קובץ לא מוכר סימן לצורך בבדיקה נוספת; עצם בקשת ההרשאה אינה הוכחה לנוזקה.
- אם מסך הכניסה נראה חשוד, אל תזינו מידע רגיש. פתחו את היישום בדרך הרגילה שלכם ובדקו את הכתובת או את מקור ההתקנה.
- לאחר ביטול גישה מיותרת, בדקו את תפקודם של כלי העזר הדרושים לכם. אבטחה לא צריכה להפוך את המכשיר לבלתי שמיש עבור בעליו.
אם אתם חושדים שהסיסמה או ההפעלה שלכם כבר נחשפו, ביטול ההרשאה לבדו אינו מספיק. ממכשיר מהימן, בדקו הפעלות פעילות ודרכי שחזור חשבון והחליפו סיסמאות שנמצאות בסיכון.
מה על המפתח לבדוק?
העריכו בנפרד מסכי כניסה, אישור פעולות והצגת מידע רגיש. בדקו נגיעות תחת כיסוי וכיסוי חלקי; בדיקת צילום מסך בלבד אינה מספיקה. לאחר מכן בדקו את אותו מסלול עם קורא מסך וכלי עזר אמיתיים, כדי שההגנה לא תפגע בגישה לגיטימית.
בדוח הבדיקה תעדו את גרסת Android והיישום, סוג השירות, ההרשאות והנתונים שבאמת היו גלויים. אי אפשר להסיק מבדיקה מוגבלת מסקנות לגבי כל המכשירים.
גבול ההצפנה של יישום המסרים
מודל האיומים של Livara מחריג מכשיר נגוע או לא נעול מהבטחת ההגנה על התוכן. לכן שם האלגוריתם או היות החלפת המפתחות פוסט־קוונטית אינם הגנה מפני כל ניצול לרעה של ממשק המשתמש. התייחסו להגנת נתיב ההודעות, לשלמות המכשיר ולבקרת ההרשאות כשלוש בדיקות נפרדות.
