Tillgänglighet är nödvändig för användare; risken uppstår när åtkomst beviljas utan goda skäl och sedan missbrukas.
Skadlig programvara behöver inte alltid knäcka meddelandekrypteringen. Om den får tillgång till data som enheten behandlar för visning eller inmatning kan den kanske se innehållet före kryptering eller efter dekryptering. Missbruk av tillgänglighet och överlagringsfönster är två exempel, men mekanismerna är inte desamma.
Inte heller är varje app med tillgänglighetsfunktioner eller ett flytande fönster skadlig. Skärmläsare och hjälpmedel är nödvändiga för många användare. Målet är medveten tilldelning av åtkomst och minskat missbruk, inte att ta bort tillgänglighet.
Tre hot som inte bör blandas ihop
| Metod | Vad gör angriparen? | Vad bör man inte anta? |
|---|---|---|
| Falskt fönster eller formulär | Lockar användaren att ange information i ett gränssnitt som liknar den riktiga appen | Varje överlagring läser inte automatiskt texten i fönstret under |
| Klickstöld eller tapjacking | Lurar användaren att trycka på en annan kontroll | Ett genomskinligt lager betyder inte att alla knapptryckningar registreras |
| Missbruk av en tillgänglighetstjänst | Använder tjänstens tillåtna funktioner för att observera eller utföra åtgärder | Åtkomsten till alla vyer är inte likadan i alla versioner |
Den officiella guiden om tapjacking skiljer mellan fullständig och partiell övertäckning av gränssnittet. Fönstertyp, Android-version och appinställningar påverkar resultatet.
Hur kan tillgänglighet komma åt känsliga data?
En tillgänglighetstjänst kan inom ramen för sina funktioner ta emot information från gränssnittet eller utföra en åtgärd åt användaren. En skadlig tjänst kan missbruka samma möjlighet. Att aktivera den för en app som saknar en tydlig anledning är därför inget obetydligt beslut.
Men påståendet att ”varje tjänst kan läsa all text i varje app” är alltför absolut. Vyernas struktur, hur data exponeras och operativsystemets begränsningar spelar roll. Android har funktioner som accessibilityDataSensitive för känsliga vyer; deras användning och beteende behöver testas på målversionen. Se Googles förklaring av skydd mot skadliga tjänsters åtkomst till data.
Vad gör FLAG_SECURE, och vad gör det inte?
FLAG_SECURE används för att begränsa skärmbilder och visning av innehåll på osäkra utgångar. Flaggan styr inte ensam tillgänglighetsgränssnittet, falska formulär eller alla sätt att extrahera text. Att fotografera skärmen med en annan enhet är också en separat fråga.
Android erbjuder även andra verktyg, som HIDE_OVERLAY_WINDOWS, för att minska överlagringsfönster. Inget av dem bör beskrivas som en ”antispionknapp” utan att kompatibilitet, versionsbegränsningar och påverkan på användare med tillgänglighetsbehov undersöks. Se guiden om skydd av känsliga aktiviteter.
Användarens checklista för åtkomstkontroll
- Gå i enhetens inställningar separat igenom appar med tillgänglighet, visning ovanpå andra appar och åtkomst till aviseringar. Sökvägarnas namn varierar mellan tillverkare och versioner.
- Fråga för varje post vilken konkret funktion som behöver åtkomsten. Åtkomst för en betrodd skärmläsare är inte samma sak som för en okänd ficklampsapp.
- Se en brådskande begäran om att aktivera åtkomst efter installation av en okänd fil som en signal om att undersöka närmare; en behörighetsbegäran i sig bevisar inte att något är skadligt.
- Ange inte känsliga uppgifter om inloggningssidan ser misstänkt ut. Öppna appen på ditt vanliga sätt och kontrollera adressen eller installationskällan.
- När onödig åtkomst har återkallats, testa att de hjälpmedel du behöver fortfarande fungerar. Säkerhet ska inte göra enheten oanvändbar för ägaren.
Om du misstänker att ditt lösenord eller din session redan har röjts räcker det inte att återkalla behörigheten. Kontrollera aktiva sessioner och metoder för kontoåterställning från en betrodd enhet och byt lösenord som är utsatta.
Vad bör utvecklaren testa?
Bedöm inloggningsvyer, bekräftelser av åtgärder och visning av känsliga uppgifter separat. Testa tryck på övertäckta kontroller och partiell övertäckning; ett skärmbildstest räcker inte. Kontrollera sedan samma flöde med en riktig skärmläsare och verkliga hjälpmedel, så att säkerhetsförsvaret inte förstör legitim åtkomst.
Ange Android- och appversion, tjänstetyp, behörigheter och vilka data som faktiskt var synliga i testrapporten. Ett begränsat test räcker inte för slutsatser om alla enheter.
Meddelandekrypteringens gräns
Livaras hotmodell undantar infekterade eller upplåsta enheter från garantin om innehållsskydd. Algoritmens namn eller postkvantnyckelutbyte är därför inget försvar mot allt missbruk av användargränssnitt. Se skyddet av meddelandets väg, enhetens integritet och behörighetskontrollen som tre separata bedömningar.
