Toegankelijkheid is essentieel voor gebruikers; het risico ontstaat door onnodig toegang te verlenen en die toegang te misbruiken.
Malware hoeft niet altijd de versleuteling van berichten te kraken. Als malware toegang krijgt tot gegevens die het apparaat verwerkt voor weergave of invoer, kan die inhoud mogelijk vóór versleuteling of na ontsleuteling zien. Misbruik van toegankelijkheid en overlayvensters zijn twee voorbeelden, maar hun werking is niet hetzelfde.
Ook is niet elke app met toegankelijkheidsfuncties of een zwevend venster malware. Schermlezers en hulpmiddelen zijn voor veel gebruikers essentieel. Het doel is bewust toegang verlenen en misbruik beperken, niet toegankelijkheid afschaffen.
Drie bedreigingen die we niet moeten verwarren
| Methode | Wat doet de aanvaller? | Wat mag je niet aannemen? |
|---|---|---|
| Een vals venster of formulier | Verleidt de gebruiker om gegevens in te voeren in een interface die op de echte app lijkt | Niet elke overlay leest automatisch de tekst van het onderliggende venster |
| Klikdiefstal of tapjacking | Misleidt de gebruiker zodat die een andere bediening aanraakt | Een transparante laag betekent niet dat alle toetsaanslagen worden vastgelegd |
| Misbruik van een toegankelijkheidsservice | Gebruikt de toegestane mogelijkheden van de service om te observeren of handelingen uit te voeren | Toegang tot alle weergaven is niet in elke versie hetzelfde |
De officiële tapjackinggids maakt onderscheid tussen volledige en gedeeltelijke bedekking van de interface. Het venstertype, de Android-versie en de appinstellingen beïnvloeden het resultaat.
Hoe kan toegankelijkheid gevoelige gegevens bereiken?
Een toegankelijkheidsservice kan binnen haar mogelijkheden informatie uit de interface ontvangen of een handeling voor de gebruiker uitvoeren. Een kwaadaardige service kan diezelfde mogelijkheid misbruiken. Zo’n service inschakelen voor een app zonder duidelijke reden is daarom geen onbeduidende beslissing.
Maar de bewering dat “elke service alle tekst van elke app kan lezen” is te absoluut. De structuur van weergaven, de manier waarop gegevens worden aangeboden en beperkingen van het besturingssysteem zijn belangrijk. Android heeft voor gevoelige weergaven functies zoals accessibilityDataSensitive; het gebruik en gedrag daarvan moeten op de beoogde versie worden getest. Zie Googles uitleg over gegevensbescherming tegen kwaadaardige services.
Wat doet FLAG_SECURE wel en niet?
FLAG_SECURE wordt gebruikt om schermafbeeldingen en weergave van inhoud op onveilige uitvoerkanalen te beperken. Deze vlag regelt op zichzelf niet de toegankelijkheidsinterface, valse formulieren of alle manieren om tekst te extraheren. Het scherm fotograferen met een ander apparaat is eveneens een apart probleem.
Android biedt apps ook andere hulpmiddelen, zoals HIDE_OVERLAY_WINDOWS, om overlayvensters te beperken. Geen daarvan mag zonder onderzoek naar compatibiliteit, versiebeperkingen en de gevolgen voor gebruikers met toegankelijkheidsbehoeften als een “antispionageknop” worden gepresenteerd. Zie de gids voor bescherming van gevoelige activiteiten.
Checklist voor gebruikers om toegang te controleren
- Bekijk in de apparaatinstellingen afzonderlijk welke apps toegankelijkheid, weergave boven andere apps en toegang tot meldingen hebben. De namen van instellingen verschillen per fabrikant en versie.
- Vraag bij elke app welke concrete functie deze toegang nodig heeft. Toegang voor een vertrouwde schermlezer is niet hetzelfde als toegang voor een onbekende zaklampapp.
- Zie een dringend verzoek om toegang in te schakelen na installatie van een onbekend bestand als aanleiding voor nader onderzoek; alleen een machtigingsverzoek bewijst niet dat iets malware is.
- Voer geen gevoelige informatie in als een inlogscherm er verdacht uitziet. Open de app via je gebruikelijke route en controleer het adres of de installatiebron.
- Test na het intrekken van onnodige toegang of de hulpmiddelen die je nodig hebt nog werken. Beveiliging mag het apparaat niet onbruikbaar maken voor de eigenaar.
Als je vermoedt dat je wachtwoord of sessie al is blootgesteld, is alleen een machtiging intrekken niet genoeg. Controleer vanaf een vertrouwd apparaat de actieve sessies en mogelijkheden voor accountherstel en wijzig wachtwoorden die risico lopen.
Wat moet de ontwikkelaar testen?
Beoordeel inlogschermen, bevestiging van handelingen en weergave van gevoelige informatie afzonderlijk. Test aanrakingen van bedekte bedieningselementen en gedeeltelijke bedekking; alleen een schermafbeelding testen is niet voldoende. Doorloop vervolgens hetzelfde pad met een echte schermlezer en hulpmiddelen, zodat de beveiliging legitieme toegang niet blokkeert.
Leg in het testrapport de Android- en appversie, het servicetype, de machtigingen en de werkelijk zichtbare gegevens vast. Eén beperkte test rechtvaardigt geen conclusie over alle apparaten.
De grens van berichtversleuteling
Het dreigingsmodel van Livara plaatst besmette of ontgrendelde apparaten buiten de garantie op inhoudsbescherming. De naam van het algoritme of postkwantumsleuteluitwisseling vormt daarom geen verdediging tegen elk misbruik van de gebruikersinterface. Beschouw bescherming van het berichtenpad, de integriteit van het apparaat en controle van machtigingen als drie afzonderlijke onderzoeken.
