Comments 33
Причем здесь неэффективность системы безопасности Android не очень понятно.
Если приложение, на стадии установки, открыто предупреждает, что оно, например, отформатирует карту памяти телефона, то в потере данных виноват сам пользователь.
Когда люди научатся читать, на родном языке, что требует приложение для своей работы, тогда безопасность системы автоматически возрастет.
Если приложение, на стадии установки, открыто предупреждает, что оно, например, отформатирует карту памяти телефона, то в потере данных виноват сам пользователь.
Когда люди научатся читать, на родном языке, что требует приложение для своей работы, тогда безопасность системы автоматически возрастет.
Я не говорю, что система плохая, я говорю, что она неэффективная.
Это не баг и не уязвимость, это именно система разрешений — такая, какая есть. Позволяет обезопасить себя тем, кто читает, и совершенно бесполезная для тех, кто буквы принципиально игнорирует.
Андроид очень быстро набирает популярность, он бесплатен и открыт, а девайсы под его управлением стоят не так дорого. Число пользователей стремительно растет, при этом никто не знает, как научить миллионы владельцев читать разрешения и задумываться над написанным.
Человек по-прежнему остается самым слабым звеном в системе информационной безопасности, и подвижек в улучшении ситуации нет.
Это не баг и не уязвимость, это именно система разрешений — такая, какая есть. Позволяет обезопасить себя тем, кто читает, и совершенно бесполезная для тех, кто буквы принципиально игнорирует.
Андроид очень быстро набирает популярность, он бесплатен и открыт, а девайсы под его управлением стоят не так дорого. Число пользователей стремительно растет, при этом никто не знает, как научить миллионы владельцев читать разрешения и задумываться над написанным.
Человек по-прежнему остается самым слабым звеном в системе информационной безопасности, и подвижек в улучшении ситуации нет.
как научить миллионы владельцев читать разрешения и задумываться над написанным.
Большинство людей учатся только на своих ошибках, потому, imho, таких надо учить жесткими методами. Не стал читать большую красную надпись «Ваш телефон будет уничтожен после установки приложения», значит сам виноват. В следующий раз будешь внимателен.
Почему то никого не удивляет факт, что перед тем как поехать на автомобиле необходимо отучиться в автошколе, а обучится азам работы с собственным устройством всем лень.
P.S.: Чувствую, щас опять, заминусуют.
Дело в том, что там не «Большая красная надпись: ваш телефон будет уничтожен», а при установке маркет спрашивает: «Приложению нужен доступ к карте памяти и состоянию телефона, устраивает?»
И все, хочешь ставь, не хочешь — не ставь. Других вариантов нет. Объяснений, зачем же ему это нужно — нет. Возможности поставить, но в интернет не пускать — нет.
А, например, доступ к карте памяти требуют вообще все приложения, они-то там просто хотят хранить свои кеши, а получают доступ сразу ко всей карте.
И все, хочешь ставь, не хочешь — не ставь. Других вариантов нет. Объяснений, зачем же ему это нужно — нет. Возможности поставить, но в интернет не пускать — нет.
А, например, доступ к карте памяти требуют вообще все приложения, они-то там просто хотят хранить свои кеши, а получают доступ сразу ко всей карте.
Абсолютно согласен с LightFalcon. Статья ни о чем. Китайцы естественно обеспокоены безопасностью, у них даже Skype сливает информацию :-)
В Андроиде честно и прозрачно указывается на права приложения. Хочешь тонкую сетевую политику — ставь фаервол, благо их хватает.
Ну а человеческий фактор никогда не исключишь, форматнуть диск можно и в Windows и в Linux. Что касается прав пользователей — ну так девайсы под Андроид рассчитаны преимущественно на одного пользователя, и я не думаю, что в настоящее время надо что-то менять, благо есть более важные проблемы.
В Андроиде честно и прозрачно указывается на права приложения. Хочешь тонкую сетевую политику — ставь фаервол, благо их хватает.
Ну а человеческий фактор никогда не исключишь, форматнуть диск можно и в Windows и в Linux. Что касается прав пользователей — ну так девайсы под Андроид рассчитаны преимущественно на одного пользователя, и я не думаю, что в настоящее время надо что-то менять, благо есть более важные проблемы.
Если бы приложения писали конкретно что они собираются делать, то ваш вывод был бы верен. Но система безопасности Андроида в очень общих чертах пишет, что приложение собирается делать.И, главное, приложение предназначенному для отправки смс ничто не мешает отправить смс о которых пользователь и не дгадывается. Так, для примера.
Интересно, если предположить что человек который ответил на один опрос отвечает и на второй вопрос обязательно, думаю так и есть в большинстве случаев.
То неувязочка получается в данный момент:
48 человек читают резрешения, Но подумали отказаться или нет после прочтения 65 человек. То есть почти 50% погрешности уже. В общем необъективное голосование получается.
P.S. это я поумничать с утреца решил.
То неувязочка получается в данный момент:
48 человек читают резрешения, Но подумали отказаться или нет после прочтения 65 человек. То есть почти 50% погрешности уже. В общем необъективное голосование получается.
P.S. это я поумничать с утреца решил.
Те кто не читает разрешения, дефакто не отказываются от установки так, что все нормально.
Да, но если придираться к словам «если, по вашему мнению, они требуют слишком много», то для того чтоб ответить на этот вопрос у них должно быть мнение много они требуют или достаточно, а чтоб это мнение появилось надо прочитать, а них нет мнения много оно требует или нет, у них мнение что он хочет это приложение и не хочет вникать в то что ему(приложению) надо.
Я читаю разрешения, но ни разу не отказывался, хотя и не понимал зачем, грубо говоря, калькулятору доступ в сеть или к смс.
Ну и что, Вы этим гордитесь? Такое впечатление, что в макете только один калькулятор, и он никак не работает без этих разрешений (утрирую, но продолжаю Ваш пример).
Почему горжусь? Просто факт констатирую. Не вижу смысла отказываться от приложения, если не понимаю зачем ему то или иное разрешение. Единственный раз когда я подхватил зловреда — разрешения соответствовали функциональности, просто на несколько действий инициированных пользователем оно дело одно самостоятельно. И именно поэтому считаю систему безопасности Андроида дефектной в принципе. Читай-не читай, думай-не думай, а толку мало: слишком высокоуровневые разрешения, нельзя задать «спрашивать каждый раз» с выводом данных вызова системных функций в человекочитаемом виде типа «приложение хочет отправить смс по таому-то номеру с таким-то текстом» или «приложение хочет позвонить на такой-то номер».
Так да, вы сюда правильно попали(вы ответили ДА а потом НЕТ), я говорю о том что людей которые ответили в первом голосовании ДА, меньше чем суммарное количество людей во втором опросе, в котором по идее должны были голосовать только те кто отвитил ДА в первом
Подобные приложения (например LBE Privacy Guard) призваны следить за тем, какие разрешения запрашиваются с возможностью их отмены.
Кстати, только сейчас дошло: а ведь китайские ученые начинают подминать такими исследованиями славную репутацию британских ученых! :)
UFO just landed and posted this here
Текущая система контроля приложений плохая. Она ставит приложение над пользователем. Например если сделать запрос «Приложение пытается прочитать ваши контакты. Разрешить?» на уровне системы. И если пользователь ответит нет — вернуть приложению не ошибку, а пустой контактный лист. Так же поступать с смс, звонками и прочим. Сделать лист этих ограничений настраиваемым. Лично для себя я нашел выход, он называется OpenPDroid + Droidwall. Приложения, которым я разрешаю доступ в сеть, предварительно лишаются разрешений на чтение контактов, сообщений. звонков и прочее.
Теперь появляется новая проблема. Пользователи понатыкавшие в фаерволе не могут понять почему программа не работает или та или иная ее часть. И такие пользователи бугут прямиком писать отзывы на маркет.
Сдругой стороны фаервол не поможет, пользователи не хотят просто прочесть, а в случае чего просто скачать другую аналогичную программу, а вы их хотите заставить еще выбирать чтото непонятное.
Но да, было бы не плохо если бы можно было отнимать разрешения у приложений, но это поможет только тем кто и так разрешения в начале читает, прежде чем ставит приложение.
Сдругой стороны фаервол не поможет, пользователи не хотят просто прочесть, а в случае чего просто скачать другую аналогичную программу, а вы их хотите заставить еще выбирать чтото непонятное.
Но да, было бы не плохо если бы можно было отнимать разрешения у приложений, но это поможет только тем кто и так разрешения в начале читает, прежде чем ставит приложение.
Если маленькой игре нужно в интернет, читать контакты и т.д. и если я у нее это отобрал и она будет глючить — побегу прямиком писать отзыв на маркет и скачаю другую.
Не такого вида ошибки. А ошибки вида, почему мой список друзей пустой, почему обновление не доступно и тд по списку.
Пользователям не умеющим читать список разрешений, навряд ли сильно поможет их редактирование.
То есть по сути, проблема как таковая никуда не денется даже при наличии редактора разрешений. Это будет просто дополнительной фишкой для нас с вами.
Пользователям не умеющим читать список разрешений, навряд ли сильно поможет их редактирование.
То есть по сути, проблема как таковая никуда не денется даже при наличии редактора разрешений. Это будет просто дополнительной фишкой для нас с вами.
Читаю, отказываюсь, считаю систему ущербной и неэффективной. Устанавливаю игрушку типа энгрибёрц — ей нужен доступ в интернет и к карте памяти, зачем? Но отказываться вроде как нет смысла — все же пользуются, и ничего. Какой-нибудь чат-клиент требует доступа к контактам, карте памяти, фотографиям и геоположению — зачем, если мне нужен лишь чатик? Я не хочу, чтобы чатик отслеживал моё местонахождение или закачивал мои фотографии и адресную книгу к себе на сервер.
В Айос система безопасности немного лучше, но и она далека от идела — там приложение спрашивает разрешение при первой попытке доступа к данным. И чатиком можно спокойно пользоваться без доступа к контактам, фотографиям и геоположению до того момента, пока не захочишь отправить свои координаты или только что сделанную фотку товарищу по переписке — в этом месте приложение спросит разрешения. Но там будет вариант разрешить/запретить, а неплохо бы иметь выбор «разрешить только один раз» и «разрешить на следующие полчаса», чтобы не лезть в настройки и не отключать доступ. Так же и с адресами — если я хочу использовать метаконтакты или чтобы чатик поискал по адресной книге в поисках друзей, которые пользуются этим же чатиком — ок, но если мне это не нужно, я просто не разрешу при запросе и смогу пользоваться приложением дальше. Хотя было бы лучше, если бы я мог сам указать приложению, к каким контактам оно имеет доступ, а к каким — нет.
С другой стороны, для полноценного использования смартфон с андроидом всё равно требуется рутить, а на рутованном устройстве можно регулировать права доступа приложений.
В Айос система безопасности немного лучше, но и она далека от идела — там приложение спрашивает разрешение при первой попытке доступа к данным. И чатиком можно спокойно пользоваться без доступа к контактам, фотографиям и геоположению до того момента, пока не захочишь отправить свои координаты или только что сделанную фотку товарищу по переписке — в этом месте приложение спросит разрешения. Но там будет вариант разрешить/запретить, а неплохо бы иметь выбор «разрешить только один раз» и «разрешить на следующие полчаса», чтобы не лезть в настройки и не отключать доступ. Так же и с адресами — если я хочу использовать метаконтакты или чтобы чатик поискал по адресной книге в поисках друзей, которые пользуются этим же чатиком — ок, но если мне это не нужно, я просто не разрешу при запросе и смогу пользоваться приложением дальше. Хотя было бы лучше, если бы я мог сам указать приложению, к каким контактам оно имеет доступ, а к каким — нет.
С другой стороны, для полноценного использования смартфон с андроидом всё равно требуется рутить, а на рутованном устройстве можно регулировать права доступа приложений.
Я отвечу немного не по теме, но меня «порадовал» момент, когда я хотел настроить почту на своём телевоне через MS ActiveSync. У меня при этом просили дать права администратора почтовому клиенту (при этом в описании было указано, что телефон может быть вайпнут удалённо)…
Кстати, кто-нибудь знает как это обойти?
Кстати, кто-нибудь знает как это обойти?
Наконец то статья про андроид приложения, в которой я смогу выплеснуть свои эмоции :)
Я бы спокойно относился к тому что некоторые не читают разрешения. Но из-за такой ситуации авторы спокойно дают своим приложениям лишний доступ, т.к. всё равно качают. И в результате мне приходится очень долго искать приложения без лишних разрешений. Что поразительно, в самом поиске на маркете нет возможности отфильтровать по разрешениям. Хорошо хоть нашел программу, которая это может.
Я бы спокойно относился к тому что некоторые не читают разрешения. Но из-за такой ситуации авторы спокойно дают своим приложениям лишний доступ, т.к. всё равно качают. И в результате мне приходится очень долго искать приложения без лишних разрешений. Что поразительно, в самом поиске на маркете нет возможности отфильтровать по разрешениям. Хорошо хоть нашел программу, которая это может.
Ну вот кроме того, что пользователи не читают разрешения, вижу еще несколько проблем:
1. Неинформартивность: ну вот как понять человеку, далекому от ИТ, что такое, например, «писать во внешнее хранилище»? Да и продвинутому пользователю не так просто понять, что именно приложение может делать, а что не может. В результате человек решает «ай, не пудри мне мозги!» и разрешает.
2. Обширность прав: что значит доступ к сети, или доступ к карте памяти? Только на сервер разработчика, в папку приложения, или в один прекрасный день отошлет мои данные и форматнет карту? Очевидно, необходимы более узкие права «соединяться с таким-то хостом», «читать из этой директории», «писать только в эту директорию», «читать псевдонимы пользователей, но не их емайлы\телефоны»,«отправлять смс только по такому-то номеру» и чтобы эта информация определялась в манифесте в текстовом виде, с возможностью правки пользователем.
3. Недостаточный контроль прав: права запрашиваются при установке приложения, с возможностью беглого просмотра, причем принять можно либо все, либо не устанавливать приложение. После установки права невозможно пересмотреть, выборочно запретить и т.д.
4. Приложение в курсе: как писалось выше, приложения зачастую требуют больше прав, чем нужно, и даже если разрешить, скажем, gps, но выключить его, приложение сразу будет орать «включи, сука, gps, а то даже фоновую картинку не покажу!» — это вместо тихого кукиша приложению в виде девственно чистого телефона.
5. (условно) Популярность и низкая конкуренция некоторых приложений просто заставляет соглашаться, глядя или не глядя («все же пользуются и живы») с их непомерными аппетитами. А потом, оказывается, что эти приложения насобирали на тебя такой компромат, который не то, что выложить в Сеть, но и маме\жене неохота показывать. Я уже молчу про всю остальную скандальную «социальную инженерию», от которой всегда отмазка одна: «вы сами согласились, можете и не пользоваться нашим приложением».
Резюмя: загвоздка не только в ленивых пользователях, но и попустительстве разработчиков. (вспоминается древний холивар, почему в линухе вирусов нет или почти нет.)
1. Неинформартивность: ну вот как понять человеку, далекому от ИТ, что такое, например, «писать во внешнее хранилище»? Да и продвинутому пользователю не так просто понять, что именно приложение может делать, а что не может. В результате человек решает «ай, не пудри мне мозги!» и разрешает.
2. Обширность прав: что значит доступ к сети, или доступ к карте памяти? Только на сервер разработчика, в папку приложения, или в один прекрасный день отошлет мои данные и форматнет карту? Очевидно, необходимы более узкие права «соединяться с таким-то хостом», «читать из этой директории», «писать только в эту директорию», «читать псевдонимы пользователей, но не их емайлы\телефоны»,«отправлять смс только по такому-то номеру» и чтобы эта информация определялась в манифесте в текстовом виде, с возможностью правки пользователем.
3. Недостаточный контроль прав: права запрашиваются при установке приложения, с возможностью беглого просмотра, причем принять можно либо все, либо не устанавливать приложение. После установки права невозможно пересмотреть, выборочно запретить и т.д.
4. Приложение в курсе: как писалось выше, приложения зачастую требуют больше прав, чем нужно, и даже если разрешить, скажем, gps, но выключить его, приложение сразу будет орать «включи, сука, gps, а то даже фоновую картинку не покажу!» — это вместо тихого кукиша приложению в виде девственно чистого телефона.
5. (условно) Популярность и низкая конкуренция некоторых приложений просто заставляет соглашаться, глядя или не глядя («все же пользуются и живы») с их непомерными аппетитами. А потом, оказывается, что эти приложения насобирали на тебя такой компромат, который не то, что выложить в Сеть, но и маме\жене неохота показывать. Я уже молчу про всю остальную скандальную «социальную инженерию», от которой всегда отмазка одна: «вы сами согласились, можете и не пользоваться нашим приложением».
Резюмя: загвоздка не только в ленивых пользователях, но и попустительстве разработчиков. (вспоминается древний холивар, почему в линухе вирусов нет или почти нет.)
В CyanogenMod же есть контроль контактов.
Приложению в ответ на запрос контактов подсовывают липовый список. И приложение не падает, и личные данные не отдаются.
Кажется и по остальным правам там можно подобные ограничения делать уже после установки.
Приложению в ответ на запрос контактов подсовывают липовый список. И приложение не падает, и личные данные не отдаются.
Кажется и по остальным правам там можно подобные ограничения делать уже после установки.
Контроль над разрешениями возможен только при рут-правах на телефоне.
Я пользуюсь PDroid Manager + DroidWall, и только в этой связке мне удается:
— выбирать, что разрешить приложению, а что — запретить;
— ограничить выход приложения в интернет.
А то совсем неприятно, когда программа лезет, например, в список звонков/СМС/получает перманентный доступ к перемещениям абонента/доступ к IMEI телефона/номеру симки/записи звука/записи видео, как например популярный вконтактик (список заблокированных мной, но работающих по умолчанию разрешений этого чудесного приложения на скриншоте): s6.hostingkartinok.com/uploads/images/2013/05/0ce2a31f45af1467574d9f4920e268d7.png
Я пользуюсь PDroid Manager + DroidWall, и только в этой связке мне удается:
— выбирать, что разрешить приложению, а что — запретить;
— ограничить выход приложения в интернет.
А то совсем неприятно, когда программа лезет, например, в список звонков/СМС/получает перманентный доступ к перемещениям абонента/доступ к IMEI телефона/номеру симки/записи звука/записи видео, как например популярный вконтактик (список заблокированных мной, но работающих по умолчанию разрешений этого чудесного приложения на скриншоте): s6.hostingkartinok.com/uploads/images/2013/05/0ce2a31f45af1467574d9f4920e268d7.png
Sign up to leave a comment.
О пользователях и разрешениях: Около 66,9% Android-приложений отслеживают личную информацию