Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 32
А те быдлокодеры, которые усиленно приучают пользователей так делать, не должны? Сейчас каждое мало-мальски серьёзное приложение требует полный пакет разрешений, и хорошо ещё, если не root-доступ. В итоге после установки 10 разных приложений, каждое из которых требует всего и побольше, и ещё двух, требующих рута, пользователь привыкает жать «Yes» всегда и везде.
Повторяется ситуация с ранними версиями винды, когда без админских привилегий запускался разве только блокнот.
Повторяется ситуация с ранними версиями винды, когда без админских привилегий запускался разве только блокнот.
Надеюсь, грядущий Android M со своими динамическими разрешениями немного поправит ситуацию, давно пора было это сделать.
Будем надеяться. А пока на странице Normal permissions можно найти кучу привилегий, например Интернет. И плюс цитата:
When the user installs or updates the app, the system grants the app all permissions listed in the manifest that fall under PROTECTION_NORMAL.
The user is not prompted to grant any permissions at install time.Теперь вы даже увидеть не сможете, что фонарик хочет интернет. Так-то.
Чего уж там, и производители смартфонов, которые произвели смартфон, который вообще может фотографировать тебя, пока ты дрочишь. =)
http://cdn.topwar.ru/uploads/images/2014/003/obtd940.jpeg
Обычно — да, но сейчас — нет.
Кстати, где фотки тех, кто не заплатил? Я б не заплатил. Человек, который будет разглядывать мою фотку, вряд ли может меня пристыдить.
http://cdn.topwar.ru/uploads/images/2014/003/obtd940.jpeg
Обычно — да, но сейчас — нет.
Кстати, где фотки тех, кто не заплатил? Я б не заплатил. Человек, который будет разглядывать мою фотку, вряд ли может меня пристыдить.
быдлокодеры
Не быдлокодеры, а монетизаторы. Собирают инфу и торгуют ей. Обычно инфу собирает подключаемый модуль рекламодателя.
Еще и производитель ОС виноват, который при установке приложения не дает выбрать права доступа.
Чтобы при установке фонарика не снимали галочки о доступе к интернету и не лишали «корпорацию добра» заработка.
Без такой системы разрешений платформа бы не взлетела: её бы просто послали деньгоориентированные разрабы, а за ними — и вендоры, и был бы андроид как Firefox OS (кстати, любой компьютер с фф может запускать приложения от ффос). Как и сейчас посылают некоторые фирмы, делающие приложения исключительно под iOS, так как там принято платить за приложения (и у всех моих знакомых, кто использует эппловские устройства, все приложения куплены, потому что сама идея джейлбрейка им противна).
Android M ситуацию не поправит. Что делают многие сайты, когда детектируют блокировщик рекламы? Отказываются работать. Когда пользователи начнут массово отзывать привелегии, таких особо умных начнут массово посылать. Думаете, трудно отличить видеопоток с камеры от синтезированного видеопотока? Вообще-то трудно в произвольном случае, но ведь будет не произвольный случай, в ос внедрят код, генерирующий фальшивый видеопоток, изучив этот код и изучив образцы фальшивого видеопотока можно придумать различитель. Например, если «камера» даёт белый шум, то это легко определить. Тогда можно давать картинку, но тогда можно проверять наличие этой картинки. Тогда можно генерировать случайную картинку, но допустим, если у нас видеопоток с фронтальной камеры, то можно искать лица в кадре, и если нет — посылать пользователя за ним. Тогда для защиты можно будет генерировать видеопоток с сгенерированными лицами, но тогда можно попробовать сделать 3д-реконструкцию, тогда придётся рендерить лица в 3d, тогда можно проверять наличие комнаты, тогда придётся рендерить и комнату, тогда можно проверять, есть ли в комнате что-то на заднем фоне, тогда придётся рендерить и задний фон, тогда можно мигать светодиодами телефонов и проверять наличие отражений/засветок в кадре, тогда придётся и их симулировать, тогда можно проверить соответствие данных с датчиков устройства перемещениям камеры… Как вы поняли, битва оружия и брони бесконечна, и выигрывает её всегда оружие (на приведённом выше примере выиграло уже на стадии «рендерить 3д сцену»). Проще не ввязываться в неё и просто сказать «уважаемый пользователь, если уважаемый разработчик требует разрешение, предоставьте его ему или проявите к себе уважение и не пользуйтесь этим шпионящим говном, в f-droid/на форумах в очень многих случаях есть свободная/пропатченная альтернатива».
Так будет страдать примерно 99% пользователей, для которых список тех привилегий — филькина грамота, которую они привыкли принимать, не читая. Тем более что нет никакого механизма выяснить, для чего эти привилегии будут использоваться приложением. Несчастный фонарик на телефоне запрашивает привилегию «неограниченный доступ в Интернет» и «снимать фото и видео». Вероятно, второе ему требуется только для управления вспышкой. Но зачем первое? Параноик внутри внимательного пользователя шепчет, что фонарик будет за ним следить через камеру и отправлять это кому-то в интернет. Можно фонарик, конечно же, не устанавливать. Но дело в том, что практически все приложения требуют какие-то зловредные привилегии, и если им не доверять, то на телефоне вообще ничего, кроме калькулятора, не будет.
Параноик шепчет, что да, сфоткает морду и отправит. Рационализатор шепчет — дык, автор фонарика хочет кушать, а поэтому фонарик хочет крутить рекламу, которую будет качать из интернета, под это впринципе ещё может попасть разрешение на определение местоположения устройства, чтобы рекламу виагры с доставкой по сша не крутить в зимбабве. Но вот когда фонарик хочет ещё и получить доступ к телефонной книге, смс/ммс и т.д., то тут рационализатор полностью соглашается с параноиком.
На тему привилегий. Прилоение мегафона, помимо прочего, требует доступ к фото и видеосъемке, просмотр контактов и изменение/удаление содержимого SD карты. Приложение «Одноклассники» требует приём СМС сообщений, изменение и просмотр контактов, добавление/изменение мероприятий и отправление гостям эл. сообщений без предупреждения владельца календаря, изменения контактных данных, просмотр в календаре мероприятий и конфиденциальных данных, получение данных о запущенных приложениях, отключение спящего режима, изменение настроек системы, включение/выключение синхронизации. Да, да, Одноклассники.
Фейсбук — осуществление вызовов, просмотр смс, изменение и просмотр контактов, отправление гостям мероприятий эл. писем без ведома владельца, загрузка файлов без оповеения, изменение сетевых настроек, просмотр подключений wi-fi, получение данных о запущенных устройствах, упорядочивание запущенных приложений, установка обоев, отправка сообщений с их последующим сохранением.
Скайп — прием и просмотр смс, изменение контактов, отключение функции блокировки экрана, создание аккаунтов и установка паролей, установление связи с устройствами блютуз, данные о запущенных приложениях и т.д.
И к этому списку можно добавить добрую часть приложений. При этом, к примеру, Фейсбук у многих установлен производителем и без рута не сносится. Хочешь давать Фейсбуку такие привилегии или нет — не важно, производитель уже сам решил. Единственным нормальным выходом, который я вижу — дать возможность пользователю выборочно лишать приложения привилегий, и обязать разрабов этих приложений не крашить приложение из-за отсутствие некритичной привилегии. Скажем, если отобрать у Инстаграмма привилегию на фото и камеру, пусть не крашится, как только открываешь. Вот если хочешь запостить фотку — тогда пусть просит привилегию.
Фейсбук — осуществление вызовов, просмотр смс, изменение и просмотр контактов, отправление гостям мероприятий эл. писем без ведома владельца, загрузка файлов без оповеения, изменение сетевых настроек, просмотр подключений wi-fi, получение данных о запущенных устройствах, упорядочивание запущенных приложений, установка обоев, отправка сообщений с их последующим сохранением.
Скайп — прием и просмотр смс, изменение контактов, отключение функции блокировки экрана, создание аккаунтов и установка паролей, установление связи с устройствами блютуз, данные о запущенных приложениях и т.д.
И к этому списку можно добавить добрую часть приложений. При этом, к примеру, Фейсбук у многих установлен производителем и без рута не сносится. Хочешь давать Фейсбуку такие привилегии или нет — не важно, производитель уже сам решил. Единственным нормальным выходом, который я вижу — дать возможность пользователю выборочно лишать приложения привилегий, и обязать разрабов этих приложений не крашить приложение из-за отсутствие некритичной привилегии. Скажем, если отобрать у Инстаграмма привилегию на фото и камеру, пусть не крашится, как только открываешь. Вот если хочешь запостить фотку — тогда пусть просит привилегию.
Ждем Андроид-М
Ну и что, что мы его дождемся?
Какой процент пользователей купит себе телефон с новой версией?
Какой процент имеющихся телефонов будет обновлен до Версии М? Релиз Андроид L был, если не ошибаюсь в октябре 2014?
Какие из выпущенных в этом году устройств будут обновлены до Андроид М?
Каким образом 30% владельцы устройств с 4.4 на борту смогут ощутить прелести динамических прав появившихся в новой версии?
Тогда уж подождем, пока пройдут годы и все владельц 4.4 купят устроства, поддерживающие М.
Какой процент пользователей купит себе телефон с новой версией?
Какой процент имеющихся телефонов будет обновлен до Версии М? Релиз Андроид L был, если не ошибаюсь в октябре 2014?
Чем это помогло разрабтчикам?
Какие из выпущенных в этом году устройств будут обновлены до Андроид М?
Каким образом 30% владельцы устройств с 4.4 на борту смогут ощутить прелести динамических прав появившихся в новой версии?
Тогда уж подождем, пока пройдут годы и все владельц 4.4 купят устроства, поддерживающие М.
Потом N подождете и так далее
За это я люблю MIUI: при установке из *.apk я имею возможность лишить приложение любых прав, которые оно попросило. Ну и пост-фактум из настроек тоже можно сделать с абсолютно любым приложением.
А ещё при установке из *.apk оно три-четыре предупреждения показывает, каждое из которых не закрывается в течение 10 сек., чтобы пользователь прочитал-таки, чем это может грозить.
А ещё при установке из *.apk оно три-четыре предупреждения показывает, каждое из которых не закрывается в течение 10 сек., чтобы пользователь прочитал-таки, чем это может грозить.
Использую Цианоген 12.1. В нём сделали офигенную вещь под названием Privacy Guard. Когда программа пытается воспользоваться каким-либо правом из манифеста, выскакивает окошко: «Hello World пытается получить доступ к контактам. Разрешить, запретить, запомнить». То есть как режим обучения у фаервола. Очень удобно. Программы, у которых отобрали права, не вылетают при попытке обращения, как это происходит если забыть указать право в манифесте. То есть это не просто переопределение манифеста, а какой-то более интеллектуальный блокатор прав. Возможно, вместо данных возвращается заглушка, не знаю.
Действительно крутая вещь. только из-за нее и сижу на Цианогене. При чем можно указать какие настройки разрешить все по умолчанию, а какие спрашивать. Также можно разрешать на время единичной просьбы.
И больше всего бесит, что любой кнопочный SonyEricsson 3+ поколения (k310, k510 и новее) из гребаного 2006 года такой функционал имел, а до Гугла дошло, что это НЕОБХОДИМО только в 2015 году.
а это настраивается или из коробки? недавно обновился на 12.1, нету такой фичи (
Я что-то не понял, что это за хакеры вымогающие деньги через PayPal ?!
Там же транзакции по первой жалобе клиента отменяются, а после нескольких серьезных жалоб (а шантаж/вымогательство и «вирусы» достаточно серьезны) блокируется и счет принимающего вместе с деньгами, а его личные данные (которые ему пришлось реальные указать — иначе возможности приема платежей не будет) передаются в соответсвующие органы.
Толи «хакеры» совсем глупые и наивные новички, толи это какой-то социальный эксперимент — посмотреть сколько дураков попадется, добровольно заплатит и будет молчать и не жаловаться.
Там же транзакции по первой жалобе клиента отменяются, а после нескольких серьезных жалоб (а шантаж/вымогательство и «вирусы» достаточно серьезны) блокируется и счет принимающего вместе с деньгами, а его личные данные (которые ему пришлось реальные указать — иначе возможности приема платежей не будет) передаются в соответсвующие органы.
Толи «хакеры» совсем глупые и наивные новички, толи это какой-то социальный эксперимент — посмотреть сколько дураков попадется, добровольно заплатит и будет молчать и не жаловаться.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Порноприложение фотографирует пользователя и требует $500 для разблокировки смартфона