Kilka dni temu I napisał artykuł tutaj omawiając niektóre zmiany w obsłudze uprawnień w Sklepie Google Play oraz w jaki sposób te zmiany mogą mieć niekorzystne ryzyko dla prywatności użytkowników. Komentarze do tego artykułu wskazywały na ogromne obawy czytelników co do tego uprawnienia używane przez aplikacje, a wiele z nich chce do ochrony używać App Ops lub XPrivacy sobie.
Dzisiaj zrobię mały objazd i przyjrzę się uprawnieniam wymaganym przez dwie popularne aplikacje: pierwszą klawiaturę Google i SwiftKey. Obie są aplikacjami klawiaturowymi i obie można pobrać bezpłatnie w Sklepie Play (ta ostatnia jest teraz dostępna w wersji „freemium” z dostępnymi płatnymi motywami).
Mimo że te aplikacje mają bezpośredni dostęp do każdego naciśniętego klawisza, podczas wprowadzania każdego odwiedzanego adresu URL, wiadomości tekstowej lub e-maila wyślij i wpisz hasło, wydaje się, że niewiele osób faktycznie zastanawia się nad uprawnieniami używanymi przez ich klawiaturę i ich konsekwencjami Ten.
Klawiatura Google
Rzućmy okiem na klawiaturę Google. Pamiętaj, że musiałem edytować poniższy obraz, ponieważ interfejs internetowy Sklepu Play robi wszystko, co w jego mocy, aby uniemożliwić wyświetlenie pełnej listy uprawnień w jednym widoku, nawet przy 20-calowym monitorze w orientacji pionowej, nadal decydowano się ukryć większość z nich w ramach tego przewijania pogląd. Jednak dla przyjemności oglądania zebrałem listę w jeden widok.
Przyjrzyjmy się, co się tutaj dzieje. Po pierwsze, Klawiatura Google ma dostęp do Twojej własnej karty kontaktowej i kont na Twoim urządzeniu. Oznacza to, że może dowiedzieć się, kim jesteś i poznać wszystkie konta e-mail (i inne), które masz dostępne na swoim urządzeniu. Oznacza to, że mogą zobaczyć, jakie konta Google/Dropbox/Twitter/Microsoft Exchange/Facebook masz dostępne na swoim telefonie. Nie mam pojęcia, dlaczego jest to potrzebne ani dlaczego ludzie chcą przekazywać takie informacje.
Następnie aplikacja może czytać Twoje kontakty. To całkiem w porządku — Google oczywiście chce dodać Twoje nazwiska kontaktów do baz danych sprawdzających pisownię i autouzupełniających. Ma to sens i jest czymś uzasadnionym w przypadku klawiatury. Możliwość modyfikowania lub usuwania zawartości pamięci USB jest nieco dziwna, ale umożliwia dostęp do wszystkich danych przechowywanych na „karcie SD”, niestety nie ma bardziej szczegółowego sposobu, aby to zrobić sposób. W idealnym przypadku Google korzystałby tylko z zabezpieczeń /data/data przechowywania i dlatego nie będzie mi to potrzebne. Alternatywnie mogą użyć kontenerów ASEC, aby w przejrzysty sposób uzyskać więcej miejsca na karcie SD, bez konieczności dostępu do plików osobistych na karcie SD.
Możliwość pobierania plików bez powiadomienia jest tym, co zaczyna być właściwie niepokojące - Pamiętaj, że te uprawnienia są ukryte na dole listy, więc musisz przewinąć, aby do nich dotrzeć ich. To, dlaczego klawiatura potrzebuje możliwości nie tylko pobierania plików, ale robienia tego bez informowania użytkownika, z pewnością jest niepokojące. Ile danych naprawdę trzeba pobrać, nie informując Cię o tym?
Możliwość uruchamiania przy starcie jest w porządku. Tego można rozsądnie oczekiwać od aplikacji klawiaturowej. Z drugiej strony, schowane, zaraz po być może najbardziej niewinnym pozwoleniu, jest najbardziej inwazyjne: pełny dostęp do Internetu.
Tak, zgadza się, Klawiatura Google ma pełny i nieograniczony dostęp do Internetu, a także do naciśnięć klawiszy, kontaktów, zawartości karty SD i tożsamości. Na naszej liście uprawnień od razu pojawia się informacja, że Klawiatura Google może nieszkodliwie korzystać z Twojej klawiatury. Czy ktoś myśli, że dzieje się tu trochę „ukrywania” nieprzyjemnych uprawnień?
Następne dwa uprawnienia są nieszkodliwe i ponownie umożliwiają dostęp do niestandardowego słownika użytkownika, czego całkowicie oczekuje się od aplikacji klawiaturowej. Na koniec wymagane jest pozwolenie na przeglądanie połączeń sieciowych. Po raz kolejny nie mogę zaoferować żadnego wglądu w przyczynę takiej potrzeby poza ułatwieniem innych istniejących zezwoleń na dostęp do Internetu bez Twojej wiedzy.
Jako klawiatura, oferta Google jest, jak na ironię, dość dobrze wyposażona w uprawnienia. Rzeczywiście w tym momencie pomyślałem, że trudno będzie znaleźć klawiaturę, która w jeszcze mniejszym stopniu uwzględniałaby prywatność użytkownika przy wyborze uprawnień. Niestety myliłem się.
Swiftkey
SwiftKey, który niedawno stał się bezpłatną aplikacją, to bardzo popularna klawiatura innej firmy, często chwalona za algorytm przewidywania, który jest w stanie przewidzieć następne słowo, którego użyjesz. Czy wiąże się to jednak z kosztami korzystania z uprawnień? Po raz kolejny rozszerzyłem tę listę, która została zwinięta przez interfejs internetowy Sklepu Play w przewijaną listę, dzięki czemu możesz zobaczyć wszystkie uprawnienia na raz.
Na pierwszy rzut oka SwiftKey wydaje się dość podobny w wyborze uprawnień do Klawiatury Google. Dodanie zakupów w aplikacji wynika z jej niedawnego ponownego uruchomienia jako aplikacji bezpłatnej (a nie aplikacji płatnej z góry) i nie ma większego znaczenia dla prywatności.
Naszą pierwszą różnicą jest to, że SwiftKey ma dostęp do czytania wiadomości SMS i MMS. Ma to sens, biorąc pod uwagę, że SwiftKey ma funkcję uczenia się wzorców językowych z wiadomości. Niestety, biorąc pod uwagę, że SwiftKey jest aplikacją o zamkniętym kodzie źródłowym (jak Klawiatura Google), trudno to stwierdzić dokładnie, co się dzieje z tymi danymi — zdecydowanie potrzebne jest więcej otwartego oprogramowania, wysoka jakość i możliwość wyboru klawiatury rynek!
Kolejną różnicą jest to, że SwiftKey rości sobie niesławne uprawnienie „READ_PHONE_STATE”. Daje to dostęp do identyfikatorów IMEI, IMSI i SIMID, a także numerów telefonóworaz dane drugiej strony we wszelkich połączeniach (w tym jej numer telefonu). W tym momencie naprawdę nie mogę nic dodać, dlaczego SwiftKey może potrzebować tych danych. Jasne, wszystkie aplikacje kompatybilne z Androidem 1.5 są wyświetlane jako korzystające z tego uprawnienia, ponieważ w tamtym czasie nie było na to specjalnego pozwolenia. Android 1.5 to jednak relikt z 2009 roku, więc nic nie usprawiedliwia jego obecności dzisiaj. Mogę się tylko domyślać, że SwiftKey w swojej nieskończonej mądrości zdecydował, że chciałby mieć możliwość śledzenia swoich użytkowników i potrzebował do tego unikalnego identyfikatora sprzętu, takiego jak IMEI. Niestety, chociaż Google zabrania używania numeru IMEI do śledzenia reklam (chce, aby zamiast tego używany był jego identyfikator reklamowy, który może być resetowany przez użytkownika), nie mają całkowity zakaz korzystania z identyfikatorów urządzeń, które mogą być wykorzystywane do śledzenia Twojego użycia pomiędzy aplikacjami i zapewniają trwały sposób identyfikacji Cię w przyszły.
Po raz kolejny SwiftKey oferował pełny dostęp do Internetu, a pozwolenie było ukryte w sekcji „Inne”. Czy tylko mnie trochę niepokoi, że SwiftKey ma pełny dostęp do Internetu i w ogóle innych danych, do których uzyskuje dostęp (takich jak wiadomości SMS, dane identyfikacyjne i konta oraz IMEI)?
Wniosek
Już po krótkim spojrzeniu na uprawnienia dwóch popularnych klawiatur – jednej należącej do Google, a drugiej do SwiftKey – że należy zadać kilka ważnych pytań dotyczących korzystania z uprawnień w „wrażliwym na bezpieczeństwo” systemie Android Aplikacje. W nadchodzącym wydaniu Apple iOS 8 zamierza wprowadzić klawiatury innych firm, bez dostępu do Internetu domyślnie te aplikacje, a także możliwość odmówienia klawiaturze dostępu do Internetu, jeśli o to poprosi To.
W systemie Android użytkownicy wersji stockowych nie mają tej opcji. Na szczęście, jeśli jesteś zrootowanym użytkownikiem korzystającym z Xposed Framework, XPrivacy jest tutaj pomocny. Zablokowałem wszystkie uprawnienia SwiftKey, z wyjątkiem dostępu do mojego słownika użytkownika i karty SD (gdzie przechowuje swoje dane) i działa absolutnie dobrze. Mogę nie korzystać z „zalet” klawiatury połączonej z Internetem (dlaczego, na miłość boską do Androida, moja klawiatura chce, żebym zalogował się do G+, aby uzyskać dostęp do funkcji „w chmurze”? To jest klawiatura!!)
Oczywiste jest, że Sklep Play z pewnością stara się utrudnić sprawdzenie, jakie uprawnienia mają wykorzystywane przez aplikacje, a nowe zmiany w uprawnieniach skategoryzowanych stwarzają zupełnie odrębne i znaczące ryzyko, as I ostatnio podkreślone. Być może nadszedł czas, aby doświadczeni technicznie użytkownicy zatrzymali się i podsumowali, co zainstalowali na swoim telefonie i jakim aplikacjom ufają przy każdym naciśnięciu klawisza. Czy jesteś zadowolony, że Twoja klawiatura łączy się z Internetem bez Twojej wiedzy? Czy wiedziałeś, że może to zrobić, kiedy go instalowałeś? Mnóstwo pytań, czas, aby użytkownicy zażądali odpowiedzi od programistów i przejęli kontrolę nad własną prywatnością, ponieważ jasne jest, że Google i twórcy aplikacji nie są tym zainteresowani.