Aplikace Můj Vodafone a její podivná aktualizace. Proč chce přístup ke kontaktům?
Nechci dělat štvavou kampaň proti Vodafone, ale na jejich aplikaci Můj Vodafone si ukážeme přístup aplikací k oprávněním a nešikovné snahy o reakce vývojářů. A promluvíme si vzájemně trochu do duše stran přístupu k zabezpečení.
Telekomunikační operátor Vodafone pochopitelně má snahy co nejvíce usnadnit svým uživatelům elektronickou komunikaci a mimo jiné tím řešit třeba někdy dost obtížně stravitelné telefonické hovory na své zákaznické centrum. Asi se shodneme na tom, že procházet stránky operátora v mobilu v mobilním prohlížeči je spíš horor kombinovaný se strategickou střílečkou než efektivní způsob komunikace. Už několik let tak i Vodafone nabízí mobilní aplikaci, také pro Android. Hned na začátek chci říct, že aplikace je to vskutku povedená, dělá, co dělat má, neotravuje přílišnými zbytečnostmi a je mimochodem takřka stoprocentně přístupná. Takže za aplikaci velká pochvala.
Podivná práva aplikace Můj Vodafone bez důvodu?
Co mě ale přimělo sednout ke klávesnici a podělit se s našimi čtenáři, je zdánlivá maličkost, která však krásně ukazuje to, jak to s aplikacemi, jejich vývojem a hlavně bezpečností chodí v praxi.
Před pár dny vyšla aktualizace aplikace Můj Vodafone. Popis u aktualizace zní dosti podivně:
– Opravy drobných chyb
– Kvůli funkcím, na kterých pracujeme a brzy je představíme, aplikace nově vyžaduje povolení pro čtení kontaktů.
- Přihlašovací obrazovka aplikace Můj Vodafone
- Aplikace Můj Vodafone v obchodě Google Play
- Novinky v aktualizaci Můj Vodafone
Aplikace tedy chce nové – a dost podstatné a potenciálně nebezpečné – oprávnění a její autoři to zrovna dvakrát nevysvětlili, že? Jsem osobně v tomhle dost tvrdý a rigidní, a tak jsem na to reagoval tím, že bylo zneužito oprávnění pro čtení kontaktů. Pouhá informace, že “se to někdy třeba na něco použije”, je opravdu dle mého názoru nedostatečným obhájením tak významné změny v bezpečnostních oprávněních, obzvláště pro aplikaci vašeho mobilního operátora, tedy toho, kdo vaše zařízení připojuje k internetu a umožňuje vám v mobilu komunikaci.
Adam Kurfürst
Reakce psaná pro paranoiky
Ani jsem nečekal žádnou reakci, ostatně byl jsem dle hodnocení asi jediný, kdo si vůbec všiml. O to víc mě příjemně překvapila oficiální reakce vývojáře, která přišla opravdu docela rychle. Její obsah už byl ale překvapením spíše nepříjemným:
“Jak píšeme v souhrnu novinek, chystáme novou funkci, která přístup využije. Díky ní budete moct jednoduše nastavit přesměrování svého čísla na jiné z vašeho seznamu kontaktů. Aplikace je pro tuto funkci už připravená, ale musíme ji také odladit v systémech, proto ji nemůžeme spustit okamžitě.”
Pojďme si to trochu rozebrat:
- Vodafone chystá funkci pro přesměrování čísla, která již mnoho let standardně funguje prostřednictvím systémových kódů, které může použít naprosto každý ve svém telefonu a řada systémů a aplikací v telefonech ji také nabízí.
- Za tímto účelem vyžaduje aplikace Můj Vodafone přístup ke všem vašim kontaktům (tedy nikoliv jen k telefonním kontaktům s číslem) – to je překvapivě i pochopitelné, i když se to jeví hrozivě.
- Vodafone prý nemá tuto funkci odladěnou ve svých systémech, což – vzhledem k tomu, že už to mnoho let spolehlivě funguje – je dost překvapující, přestože není odladěna, zaimplementoval ji už teď do své aplikace.
- Protože je funkce v aplikaci Můj Vodafone neaktivní, stejně bude pro její aktivaci muset vydat aktualizaci své aplikace.
- Pro jistotu už ale teď potřebuje Můj Vodafone nové oprávnění, které je zatím “oficiálně” naprosto k ničemu.
- Vysvětluje to dost podivně funkcí, která již je součástí systémových kódů sítě, a tedy jde jen o její aplikační implementaci.
Celé to působí opravdu dost podivně. Obzvlášť v situaci, kdy jsou čeští operátoři dost často popotahováni za nedostatečnou bezpečnost i za poněkud elastický přístup k výkladu legislativy. Kauz s našimi operátory bylo na více frontách jen za poslední dva roky více než dost a ti méně důvěřiví jistě kroutí hlavou. Proč by asi tak mohl operátor chtít přístup k seznamu vašich kontaktů je asi jasné. I když zcela upřímně, je to spíš námět pro paranoiky než reálná snaha o takovéto přímé vykrádání kontaktů.
Samozřejmě Vodafonu i přes neobratnost a neodbornost autora reakce budu důvěřovat a aplikaci budu používat i nadále. Cílem tohoto článku není plísnit Vodafone, i když s pravidly pro vývojáře si toho evidentně moc nedělá.
Krásná ukázka – čeho?
Cílem je si na praktickém příkladu ukázat, co takřka denně čtete v různých internetových magazínech zaměřených na počítače a bezpečnost. Systém Android sám o sobě není nebezpečný. Má docela dobře propracovaný bezpečnostní mechanismus založený mimo jiné na jednotlivých oprávněních (přičemž každá další verze systému jde v tomto ještě dál). Nemá-li aplikace dané oprávnění, prostě nemůže danou operaci provést. Faktická bezpečnost či nebezpečnost aplikací je tak ponechána na uživateli. Ten prostě buď strpí nesmyslný rozsah oprávnění, nebo aplikaci nenainstaluje či neaktualizuje. V krajním případě je-li dostatečně aktivní, nahlásí jejího vývojáře a varuje ostatní.
Sám jsem se jednou setkal s aplikací pro pouhou regulaci času pro zamčení obrazovky, která chtěla přístup ke kontaktům, SMS zprávám, chtěla uskutečňovat hovory a přístup k mikrofonu a fotoaparátu. Dost drsné pravomoci pro pouhé “zhasínátko”, že? Chtěl jsem ji sem původně pro výstrahu zmínit, ale už ji v seznamu aplikací v mém účtu nemám. Google s ní tedy – tentokrát nepochybně správně – zatočil.
Jakub Kárník
Uživatelský faktor – vrah jakékoliv bezpečnosti
Ruku na displej, kdo z vás si pečlivě čte všechna ta “otravná okénka” o právech aplikace, o smlouvách, o podmínkách použití atd.? Naprostá většina uživatelů poněkud “tupě” kliká na tlačítko “Přijmout” a vůbec si neuvědomuje, co vlastně přijímá a proč. Při aktualizacích je to pak ještě horší. Se zapnutými automatickými aktualizacemi se aktualizace instalují bez zásahu a vědomí uživatele a pouze pro ty případy, kdy chce aplikace explicitně nová práva, je uživatel vyzván. Samozřejmě v tu pro něj vždycky nejnevhodnější chvíli, takže také bez čtení rovnou sahá po tlačítku se schválením.
Nové verze systému Android od verze 6 jdou v bezpečnosti ještě dál a místo nic neříkajícího a vesměs obtěžujícího schvalování všech oprávnění při instalaci, se na jednotlivá práva ptají až v okamžiku, kdy je aplikace chce použít. To už uživatelé přece jen snad zbystří a alespoň se nad schválením zamyslí. Starší verze systémů k tomu ale přistupovaly spíš jako k ruské ruletě. Buď schval, nebo neinstaluj. Tady je bez speciální aplikace a rootnutého systému pak pomoc marná a toto musí majitelé starších systémů respektovat.
Je tedy na uživateli, jak se rozhodne. Na jedné straně je to o svobodě a na druhé straně – jak tomu už tak bývá – je to taky trochu o lenosti.
Pokud jsem tímto článkem někoho ve Vodafone rozzlobil, tak to byl úmysl jen částečný. Spíš jsem chtěl uvést příklad z konkrétní nám dost blízké praxe.
A jak by to tedy mělo být z pohledu nás uživatelů?
- Rozhodně vždy instalovat aktualizace systému, mnohdy se jedná spíše o aktualizace bezpečnostní, a proto by neměly zůstávat bez povšimnutí.
- Automatické aktualizace aplikací jsou sice pohodlné, přesto ztrácíte přehled o novinkách. Doporučuji tedy aktualizace vypnout a aktualizovat ručně s tím, že si vždy přečtete informace o novinkách v aktualizaci.
- Rozhodně je dobré přemýšlet a jen neschvalovat každou výzvu k oprávnění. Aplikace na nastavování jasu displeje opravdu nepotřebuje pro svůj chod číst vaše SMS a pracovat s vašimi kontakty.
- Platí obecné pravidlo, že novější verze systému Android jsou vždy o kousek bezpečnější.
- Rootnutí telefonu či používání jiných byť zdánlivě prověřených obchodů a úložišť aplikací je opravdu na vlastní riziko.
- Google sice provádí kontroly aplikací, ale aktualizací je tolik, že se na to stoprocentně nemůžete a nemáte spoléhat.
To že bezpečnost nelze brát na lehkou váhu popisují i naše další články
- Malware DressCode byl zjištěn ve 40 aplikacích v Obchodě Play
- Bezpečnost na Androidu: nejslabším článkem je a bude uživatel
Svěřte se, čtete pečlivě jaké oprávnění vyžadují vaše aplikace?
Libor Foltýnek
Komentáře (16)
Přidat komentář