Ocena nadużycia zapytań uprawnień w aplikacjach-latarkach dla Androida

Na blogu firmy Avast opublikowane Wyniki analizy uprawnień, które są wymagane przez aplikacje dostępne w katalogu Google Play, implementujące latarki dla platformy Android. W sumie w katalogu znaleziono 937 latarek, w zaledwie siedmiu z nich zidentyfikowano elementy złośliwej lub niepożądanej aktywności, natomiast pozostałe można uznać za „czyste”. 408 aplikacji wymagało 10 lub mniej uprawnień, a w 262 aplikacjach wymagano zgody na przyznanie 50 i więcej uprawnień.

10 aplikacji wymagało od 68 do 77 uprawnień, z czego cztery z nich zostały pobrane ponad milion razy, dwa około 500 tysięcy razy, a cztery około 100 tysięcy razy.

Analizując, jakie dokładnie uprawnienia są wymagane przez aplikacje z deklarowaną funkcjonalnością latarki (nie latarka jako funkcja dodatkowa, lecz aplikacje, które głównie pozycjonują się jako latarki), stwierdzono, że 77 aplikacji wymaga funkcji nagrywania dźwięku, 180 potrzebuje dostępu do danych z książki adresowej, 21 — dostępu do zapisu w książce adresowej, 180 — możliwości wykonywania połączeń, 131 — dostępu do dokładnej lokalizacji, 63 — odpowiedzi na połączenia, 92 — wykonywania połączeń, 82 — odbierania SMS, 24 — przesyłania danych bez powiadomienia.

282 programy wymagają dostępu do funkcji wymuszonego zakończenia procesów w tle (zakłada się, że ta funkcjonalność jest wykorzystywana do zakończenia procesów w celu zmniejszenia zużycia energii). W rzeczywistości do działania latarki potrzebny jest jedynie dostęp do diody LED lampy błyskowej aparatu oraz opcjonalnie możliwość zablokowania przejścia urządzenia w tryb uśpienia.

Jako przykład omówiono typową aplikację latarki, która deklaruje tylko funkcję latarki i informuje, że aplikacja nie wymaga dodatkowych uprawnień. W rzeczywistości program żąda 61 uprawnienia, w tym możliwości wykonywania połączeń, odczytywania książki adresowej, określania lokalizacji, korzystania z Bluetooth, zarządzania stanem połączenia sieciowego, uzyskiwania listy zainstalowanych aplikacji, a także odczytywania i zapisywania w zewnętrznej pamięci.

Źródło: opennet.ru