Funkcję OnePlus App Locker w OnePlus 3, OnePlus 3T i OnePlus 5 z systemem OxygenOS można łatwo ominąć, uruchamiając jakąś czynność.
Ten problem został rozwiązany w Wersja OxygenOS 4.1.7 dla OnePlus 3 i OnePlus 3T.
Wersja oprogramowania dostępna w telefonach OnePlus jest znana jako OxygenOS. Dodaje kilka fajnych funkcji do standardowego Androida, nie odbiegając zbytnio od tego, czego można oczekiwać na urządzeniu Google. Sam niedawno zacząłem używać OnePlus 5 jako codziennego sterownika i pomimo kontrowersji uważam, że jest to świetna aktualizacja dla wszystkich fanów linii Google Nexus. Mając to na uwadze, dokładnie analizuję każde nowe urządzenie, które otrzymuję drobny aspekt, który mi się podoba lub nie lubić. Przeglądając ustawienia OxygenOS, natknąłem się na funkcję OnePlus App Locker, która blokuje wybrane aplikacje za pomocą kodu PIN/hasła/odcisku palca.
Po lewej: Laboratoria XDA ukryte przez App Locker. Po prawej: Kanał XDA ukryty przez funkcję blokady aplikacji.
Ogólnie jestem fanem rozwiązań innych firm w zakresie żądań funkcji, ponieważ nie są one narzucane i zazwyczaj oferują więcej funkcji niż rozwiązania własne. Jednak w przypadku blokady aplikacji zdecydowanie wolę zintegrowane rozwiązanie, takie jak OnePlus App Locker, tak jak powinno być trudniejsze do zabicia (a przez to bezpieczniejsze) i szybsze (ponieważ nie korzystają z usług dostępności ani nie czytają statystyk użytkowania API). Byłem jednak zszokowany, gdy odkryłem, że funkcja blokady aplikacji OxygenOS może być
łatwo ominąć.Powyższa demonstracja została przeprowadzona na działającym OnePlus 5 OxygenOS 4.5.8
Prawdę mówiąc, jestem nie traktując tego jako poważnej wady bezpieczeństwa lub cokolwiek innego, ponieważ ta funkcja jest najczęściej używana, gdy chcesz udostępnić komuś swój telefon (miejmy nadzieję ktoś, komu już ufasz). Jeśli korzystasz z tej funkcji, oznacza to, że oddajesz komuś telefon już odblokowany, więc jest nie tak, jakby to obejście omijało główne zabezpieczenia Twojego telefonu jak hasło/pin/odcisk palca lub inne środki szyfrowania lub ochrona przywracania ustawień fabrycznych. Mimo to wada jest wadą i jeśli ktoś taki jak ja, który nie jest badaczem bezpieczeństwa, mógłby to znaleźć, to każdy mógłby to zrobić.
Wyjaśnienie obejścia blokady aplikacji OnePlus
Jak pokazano na powyższym filmie, ukryłem plik Kanał XDA aplikacja obsługująca funkcję blokady aplikacji. Zgodnie z oczekiwaniami nie mogę otworzyć aplikacji bez podania hasła. Jeśli próbuję przejść do Ustawień -> Bezpieczeństwo i odcisk palca -> Szafka aplikacji, pojawia się monit o podanie hasła. Ale kiedy wracam do ekranu głównego i dotykam tajemniczej ikony aplikacji, którą stworzyłem, o nazwie „OnePlus App Locker Bypass”, otwiera stronę ustawień App Locker, na której mogę swobodnie wyłączyć dowolną istniejącą aplikację zamki.
Dostęp do funkcji OxygenOS App Locker zwykle wymaga wprowadzenia hasła/kodu PIN
Każdy powinien móc odtworzyć ten proces na swoim urządzeniu OnePlus z systemem OxygenOS, jeśli ma program uruchamiający taki jak zainstalowany Nova Launcher (to byłoby mnóstwo ludzi) lub jakakolwiek inna aplikacja, którą można uruchomić zajęcia. Ponieważ z funkcji blokady aplikacji najprawdopodobniej korzystają osoby, które chcą tylko ukryć pewne wrażliwe dane aplikacje (takie jak supertajna galeria zawierająca zdjęcia całkowicie przyjazne rodzinie) podczas pokazu z ich nowy, błyszczący telefon, jest mało prawdopodobne, aby większość ludzi pomyślała o ukryciu aplikacji uruchamiającej. Co więcej, ponieważ nie ma możliwości ukrycia instalatora pakietu za blokadą aplikacji, można również zainstalować aplikację omijającą, taką jak moja, aby ominąć blokadę aplikacji OnePlus.
Jeśli używasz Nova Launchera i ciekawi Cię, jak to zrobić, jest to proste. Po prostu dodaj skrót do działania do „App Locker”, który znajduje się w „Panelu kontrolnym”. Po prostu dotknięcie tego skrótu uruchomi ustawienia App Locker bez pytania o hasło.
Aktywność ustawień blokady aplikacji OxygenOS
Nie jestem do końca pewien, dlaczego ustawienia App Locker nie proszą o podanie hasła, gdy aktywność jest uruchamiana z aplikacji innej firmy. Jednym ze sposobów rozwiązania tego problemu byłoby po prostu przekształcenie działania w niewyeksportowana działalność więc nie można uzyskać do niego dostępu z żadnej innej aplikacji.
<activityandroid: label="@string/app_lock_label"android: name=".applocker.AppLockerSettingsActivity"android: screenOrientation="nosensor">
<intent-filter>
<actionandroid: name="com.oneplus.security.action.APP_LOCKER"/>
<categoryandroid: name="android.intent.category.DEFAULT"/>
intent-filter>
activity>The AndroidManifest.xml plik com.oneplus.security, którego część przedstawiono powyżej, pokazuje, że rzeczywiście aktywność związana z funkcją OnePlus App Locker jest działaniem wyeksportowanym. Dodawanie android: exported=false do etykiety działania powinno, moim zdaniem, rozwiązać ten problem.
OnePlus jest świadomy, zostanie naprawiony w aktualizacji OxygenOS
Powiadomiliśmy zespół OxygenOS o tym problemie, który potwierdził go w następującym oświadczeniu:
Jesteśmy świadomi tego problemu i naprawimy go w nadchodzącym OTA.
Jeśli korzystasz teraz z funkcji Blokada aplikacji i chcesz mieć pewność, że nikt nie będzie mógł jej ominąć, zalecam dodanie dowolnego programu uruchamiającego i aplikacji przeglądarkowych do istniejących blokad aplikacji. Moim zdaniem ten problem nie umniejsza komfortu korzystania z oprogramowania OnePlus 5, ale niech to będzie przypomnienie, że każdy środek bezpieczeństwa może potencjalnie mieć lukę. Na szczęście tym razem luka w zabezpieczeniach jest raczej niewielka.