Apples Apptillstånd var bara förenklad - nu är de mycket mindre säkra

Google gjorde en stor förändring av hur appbehörigheterna fungerar på Android. Appar som redan finns på din enhet kan nu få farliga tillstånd med automatiska uppdateringar. Framtida appar kan få farliga tillstånd utan att fråga dig också.

Det här är allt tack vare den senaste Play Store-uppdateringen och dess förenklade apptillståndsgränssnitt. Kärnidén här - vilket gör Android App-behörigheter förstår för normala användare - är bra. Genomförandet är det stora problemet.

Apps kan nu lägga till tillstånd utan att fråga dig

Google Play grupperar nu appbehörigheter till grupper med relaterade behörigheter. Till exempel kräver en app som vill läsa dina inkommande sms-meddelanden "Läs SMS-meddelanden". När du installerar det via Play Butik ser du det och frågar efter "SMS" tillståndsgrupp.

Installera appen och du ger den tillgång till alla SMS-relaterade behörigheter. Appen kan nu automatiskt uppdatera och få möjlighet att skicka sms-meddelanden utan att fråga dig.

Har du appar på din enhet som du litar på att läsa sms-meddelanden, men inte skicka dem? Dessa appar kan nu få möjlighet att skicka sms-meddelanden utan att fråga dig - all utvecklare måste göra uppdateringen av appen.

Det enda sättet att förhindra att detta händer är att inaktivera automatiska uppdateringar och verifiera appbehörigheter manuellt varje gång en app vill uppdatera - som om det är en rimlig lösning! Om du gör det kommer du också att sluta använda föråldrade versioner av appar, vilket är ett annat säkerhetsproblem.

Tillståndsgrupper innehåller både säkra och farliga tillstånd

Det stora problemet är att grupper kan innehålla både normala, grundläggande behörigheter och farligare tillstånd. Till exempel:

Plats: En app som ber om din ungefärliga nätverksbaserade plats kan nu få tillstånd att spåra din exakta plats med enhetens GPS.
SMS: En app som bara behöver ta emot textmeddelanden kan nu få tillstånd att skicka sms-meddelanden i bakgrunden, vilket kan kosta dig pengar.
Telefon: En app som begär att läsa din samtalslogg kan nu få tillstånd att omdirigera utgående samtal och ringa utan att fråga dig.
Foton / media / filer: En app som behöver läsa innehållet i ditt USB-minne eller SD-kort kan nu formatera hela din externa lagringsenhet.
Kamera / mikrofon: En app som har tillstånd att ta bilder och videor (till exempel en kamerapp app) kan nu få tillstånd att spela in ljud. Appen kunde lyssna på dig när du använder andra appar eller när din skärm är avstängd.

Du kommer att bli ombedd att bekräfta när en app kräver en ny grupp behörigheter. Om du redan har beviljat tillgång till en enda tillåtelse från en grupp, är alla insatser avstängda och appen kan få alla behörigheter i den gruppen.

Stort antal Android-appar ber redan om fler behörigheter än de behöver, och nu har de fått ännu fler behörigheter de inte behöver!

Varje app får tillgång till internet

Google har också gett varje app Internet-åtkomst, vilket effektivt tar bort behörigheten för Internet-åtkomst. Oh, säkert, Android-utvecklare måste fortfarande förklara att de vill ha tillgång till Internet när de sätter ihop appen. Men användare kan inte längre få tillgång till Internetåtkomst när en app installeras och nuvarande appar som inte har tillgång till internet kan nu få tillgång till Internet med en automatisk uppdatering utan att fråga dig.

Visst, de flesta appar måste ha tillgång till internet idag, men inte alla. Du kanske vill använda en levande tapeter, ficklampa eller tangentbordsprogram utan att ge den tillgång till Internet. Faktum är att en av säkerhetsfunktionerna för tangentbord från tredje part i Apples IOS 8 är att de här tangentborden inte kan komma åt Internet om du inte tillåter dem specifikt. Alla tangentbord på Android kan nu nå Internet.

Android Appbehörigheter var brutna, hur som helst

Androids apptillståndssystem var redan trasigt. Det är mindre av ett tillståndssystem och mer av ett efterfrågesystem. En app kräver att den kräver vissa funktioner, och du kan ta den eller lämna den. Du kan inte välja om du vill ge en app några behörigheter men inte andra. Android hade faktiskt en inbyggd behörighetshanterare som arbetades på, men Google tog bort det. Nu kan bara personer som rotar sina enheter och använder Xposed Framework för att återvinna App Ops-funktionen eller installera anpassade ROM-skivor som CyanogenMod kan hantera appbehörigheter. Vanliga Android-användare lämnas maktlösa.

Mycket av Apples apptillståndssystem har just blivit meningslöst. Varför bry sig om att ha ett finkornigt tillståndssystem där utvecklare måste begära tillgång till Internet och enskilda behörigheter som "läs SMS-meddelanden"? Google kan bara göra om och ominstallera Android App-behörigheter och göra ansökningsförfrågan åtkomst till behörighetsgrupper istället. Åtminstone skulle de inte ge oss en falsk känsla av säkerhet!

Och hela tiden har Apples IOS ett funktionellt tillståndssystem som ger användarna kontroll.

Nej, det här är inte ett angrepp på Android från en Apple-fanboy. Jag älskar Android och använder en Nexus 4 som en smartphone, men jag tror på att ge användarna makt. Android-användare ska kunna välja vilka appar som kan skicka sms-meddelanden eller om kamerans appar kan spela in ljud. Nu kan vi inte bara kontrollera behörigheter utan att rota eller installera en anpassad ROM, det nya tillståndssystemet ger oss ännu mindre kraft.

Tack till Iamtubeman på Reddit för att utforska denna viktiga fråga och testa den. Googles förklaring av Android: s nya förenklade appbehörigheter finns här.