应用锁能增加一道屏障，却不能让已遭入侵的设备变得可信。
应用锁可以阻止某些随手打开聊天应用的行为，却不能让一部已遭入侵的 Android 手机变得可信。合法设备一旦解密消息，拥有足够访问权限的恶意软件就可能针对可读界面下手，或操控当前已登录的账户。
本指南区分 登录凭据被盗、活动会话遭滥用，以及屏幕上显示的消息被截取 这三种情况。它们可能产生相似的症状，但原因和应对措施并不相同。
聊天应用中的“会话窃取”是什么意思
会话让应用在身份验证后保持用户的登录状态。攻击者可能窃取凭据或会话令牌，也可能通过未经授权的远程控制，利用已正常登录的合法应用执行操作。屏幕截取则可能在完全没有转移会话的情况下泄露内容。
加密的边界很清楚：
- 发送方为预定接收方的设备加密消息。
- 服务转发加密后的内容。
- 接收方设备解密内容。
- 应用显示可读文本。
- 端点攻击针对设备本身或屏幕上显示的文本。
这并不一定意味着消息协议被破解。端到端加密仍然有助于防范中间方，但不能保证每个端点都安全。
当别人短暂拿到你已解锁的手机时，应用 PIN 码或生物识别验证仍有帮助。但如果你解锁应用时，未经授权的屏幕共享或远程控制会话已经在运行，它能提供的保护就会减少。
无障碍访问：实用能力，也可能被滥用
无障碍服务帮助人们感知和操作设备。不能仅仅因为它们提供辅助功能，就将其视为可疑服务。
Android 的 AccessibilityService 文档介绍了读取向服务开放的窗口内容，以及在相应配置下与界面交互等能力。获授足够访问权限的恶意服务可能滥用这些能力。但这不等于每个无障碍服务都能读取每个屏幕或所有秘密信息。
应检查具体服务、用途和来源。陌生的工具应用如果请求广泛的无障碍访问权限，值得仔细审查；可信的屏幕阅读器则可能确实需要这些权限。不要不加区分地关闭必要的辅助工具。
屏幕截取、通知和远程控制是不同的访问途径
屏幕共享工具可能暴露已打开的聊天。通知访问权限可能让人无需打开聊天就能看到消息预览。远程控制不仅可能用于观察，还可能允许执行操作。每条访问途径都需要单独检查。
| 访问途径 | 可能泄露或被滥用的内容 | 相应应对措施 |
|---|---|---|
| 无障碍功能遭滥用 | 向该服务开放的界面信息和操作 | 检查并撤销不可信服务的访问权限 |
| 屏幕录制或共享 | 截取期间显示的内容 | 结束会话，检查执行截取的应用 |
| 远程控制 | 通过当前设备可以访问的内容和执行的操作 | 停止远程访问；从可信设备保护账户 |
| 通知访问 | 向通知监听服务开放的发送者姓名和消息预览 | 检查监听服务，隐藏敏感预览 |
| 实体接触设备 | 已打开的聊天、媒体和设置 | 锁定设备；用应用锁增加一道屏障 |
| 凭据或令牌被盗 | 该凭据或会话所允许的访问 | 使用服务提供的恢复和会话撤销功能 |
应用可能在敏感页面使用 Android 的显示保护功能，但这些并不是通用的反间谍软件措施。关于阻止截取与检测截取的区别，请参阅屏幕截图隐私指南。
值得检查的警示信号
意料之外的发出消息或账户变更值得调查。陌生的远程支持应用、出乎意料的屏幕共享指示，以及你不认识的授权记录，同样值得检查。
意外的已读回执、耗电加快，或单独一条异常通知，不能 证明设备已遭入侵。应排查普通原因，包括另一个已关联的设备。不要安装警告弹窗推广的陌生“清理工具”或“间谍软件检测器”，否则可能引入新的问题。
实用的 Android 安全检查
1. 检查更新与安装来源
安装可用的 Android、制造商和应用更新。如果手机已不再收到安全修复，应查看设备制造商的支持政策。更新能够降低已知漏洞带来的风险，却不能阻止所有具有欺骗性的权限请求。
优先选择你能够验证真实性的分发渠道。安装前核对开发者和应用身份。不要仅仅因为一个意料之外的 APK 来自加密聊天，就将其安装。
2. 检查高权限访问
Android 的选项名称和菜单位置因设备而异。请检查：
- 已启用的无障碍服务；
- 通知访问权限；
- 设备管理员或设备管理应用；
- 在其他应用上层显示的权限；
- 正在进行的投屏和屏幕共享会话；
- 安装未知应用的权限；
- VPN 配置和远程支持工具。
对每个项目，都问自己：这是我启用的吗？我认识这个应用吗？其实际功能需要这种访问权限吗？受管理的工作手机可能存在合法的组织管理措施；移除前应先咨询管理员。
3. 保护锁屏和已连接设备
使用合适的设备解锁密码，并设置较短的自动锁定时间。隐藏通知中的敏感内容。在功能可用时保持聊天应用的应用锁开启，并通过该应用自身的控制选项检查已关联的会话。
更改密码不一定会撤销所有现有会话。请遵循服务文档所述的恢复流程，并检查哪些设备仍保持连接。
4. 出于正确的目的验证联系人
有需要时，通过可信渠道比对安全号码或密钥指纹，尤其是在密钥意外变更后。身份验证有助于核对另一端的密钥。它不能诊断恶意软件、移除被窃取的会话，也不能让已经遭入侵的手机变安全。
怀疑存在未经授权的访问时该怎么办
涉及敏感信息的恢复操作，应使用另一台可信设备。 不要在可疑手机上输入新密码或恢复密钥等秘密信息。检查重要账户，在服务支持时撤销会话；如果可能有人冒用你的名义发过消息，应提醒联系人。
如果这样做是安全的，就结束正在进行的屏幕共享或远程控制，并停止在该设备上使用涉及敏感信息的应用。在进行可能删除有用证据的更改之前，保留应用名称、意外授权和时间戳等相关细节。
如果监控可能与家庭暴力或其他人身安全风险有关，撤销访问权限或与对方当面对质可能会惊动对方。在更改可疑手机之前，先通过安全设备寻求专业帮助。最安全的处理顺序取决于具体情况。
恢复出厂设置可以移除许多常见的不需要的应用，但会打断使用，也不是普遍适用的安全保证。应先考虑证据保留、账户恢复，以及从可信来源重新安装。在原因不明时，不要自动恢复所有旧应用。
这对 Livara 意味着什么
Livara 无法承诺，在受攻击者控制的端点上显示的内容仍然保密。其安全文档和威胁模型描述了服务提供方预期的安全边界，并不能证明某一部 Android 设备没有间谍软件。
应分别评估产品的各个功能面。私人对话采用加密，并不意味着公开频道、备份或每种通话模式都具有相同保证。本文并未声称 Livara 经过独立审计或恶意软件抵抗能力测试。
常见问题
应用锁没有用吗？
不是。它能针对某些实体接触设备的情况，提供一道有用的额外屏障。但它不能替代设备安全和审慎的权限管理。
屏幕截图会破解加密吗？
不会。截图是在设备已经解密并呈现内容之后，对内容进行复制。这属于端点信息泄露，并不能证明加密算法失效。
我应该认定所有旧消息都被复制了吗？
不应自动作出这种判断。可访问的内容取决于权限、应用状态和访问持续时间。应认真对待可能泄露的信息，但不要凭空断言哪些文件实际上已被收集。
Android 有没有一个设置，能阻止所有会话滥用？
没有单一设置能够同时涵盖凭据被盗、欺骗性的远程访问、有害应用、通知泄露和实体接触设备。应采用分层防护，并调查具体的访问途径。
