نفوذ اپليكيشن‌ها به اطلاعات كاربران، مجوزي كه دارندگان گوشي هوشمند بي‌دردسر صادر مي‌كنند
مركز مديريت امداد و هماهنگي عمليات رخدادهاي رايانه‌يي مجوزهاي برنامه‌هاي كاربردي سيستم‌عامل اندرويد را تحليل كرد و نسبت به خطرات احتمالي نفوذ اپليكيشن‌ها به گوشي‌هاي موبايل كاربران هشدار داد.
خبراقتصادي - امروزه با توجه به توليد انبوه برنامه‌هاي كاربردي و اپليكيشن‌هاي اندرويدي و ارائه آنها در بازارهاي ايراني و خارجي همچنين دانش اندك بيشتر كاربران سيستم‌عامل اندرويد بايد در مورد خطرات احتمالي آن دست از برنامه‌هايي كه تهديداتي را براي كاربران موبايل‌هاي اندرويدي ايجاد مي‌كنند اطلاع‌رساني شود.
بسياري از اپليكيشن‌هاي اندرويدي چه ايراني و چه خارجي با دريافت يكسري مجوزهاي حساس با استفاده از مهندسي اجتماعي يا عدم آگاهي كافي كاربران اقدام به سرقت اطلاعات كاربران مي‌كنند. ولي سوالي كه بايد از كاربران پرسيده شود اين است كه آيا شما تا به حال مجوزهاي درخواستي اپليكيشن‌هاي اندرويدي را قبل از نصب مطالعه كرده‌ايد؟ تعداد افرادي كه اين مجوزها را مطالعه مي‌كنند انگشت‌شمار هستند و بيشتر افراد برخوردي عادي و بي‌تفاوت به اين مجوزها دارند. به همين دليل توسعه‌دهندگان اپليكيشن‌ها با توجه به عدم آگاهي و نيز بي‌توجهي بيشتر كاربران، مجوزهايي را از كاربران مي‌خواهند كه راه را براي نفوذ به دستگاه‌هاي اندرويدي باز مي‌كند. مركز مديريت امداد و هماهنگي عمليات رخدادهاي رايانه‌يي(مركز ماهر) با ارائه گزارشي درخصوص آگاه‌سازي كاربران، نسبت به اپليكيشن‌هايي كه درخواست ورود به اطلاعات موجود در گوشي كاربر را دارند، هشدار داد. ابتدا بايد عنوان كرد كه مجوزهاي اندرويد درخواست نيستند بلكه يك اعلان يا اطلاع‌رساني را به كاربران اعلام مي‌دارند. هنگامي كه يك برنامه كاربردي را از Play Store دريافت و نصب مي‌كنيم يك پنجره پاپ آپ ظاهر مي‌شود كه تمام مجوزهاي درخواستي برنامه كاربردي موردنظر را به نمايش مي‌گذارد كه اين مجوزها مي‌توانند دسترسي به حافظه گوشي موردنظر، تماس‌هاي تلفني، ارتباطات شبكه و... را داشته باشند. شايد رد كردن يا تفويض مجوزهاي درخواستي برنامه كاربردي در حال نصب ساده‌ترين كاري باشد كه يك كاربر مي‌تواند انجام دهد اما نكته مهم اين است كه تا چه اندازه مي‌توان تفاوت بين حفاظت و تامين امنيت داده كاربر و نيز در اختيار قرار دادن تمام دارايي‌هاي شخص در دست توسعه‌دهنده اپليكيشن را درك كرد. بيشتر شركت‌هاي اينترنتي از متدهاي عمومي مشابهي براي آگاه‌سازي كاربران درخصوص داده‌هايي كه قرار است مورداستفاده قرار گيرند بهره مي‌برند. در سيستم‌عامل اندرويد يك ارتباط سه سويه بين كاربر، گوگل (طراح و ارائه‌دهنده سيستم‌عامل اندرويد) و توسعه‌دهندگان برنامه كاربردي شخص سوم وجود دارد. گوگل درواقع ارتباط بين كاربر و توسعه‌دهندگان شخص سوم را با استفاده از مجموعه‌يي از مجوزها براي هر برنامه كاربردي دانلود شده توسط كاربر، مديريت مي‌كند. مجوزها درواقع نيازمندي‌هاي توسعه‌دهندگان را براي چگونگي تعامل برنامه كاربردي توليدشده با دستگاه كاربر مشخص كرده و دسترسي به نوع اطلاعات درخواستي برنامه كاربردي را نيز تعيين خواهد كرد. در اكوسيستم اندرويد بيشترين فشار روي توسعه‌دهندگان است تا مجوزهايي كه به كاربر نشان داده مي‌شوند، نحوه كار برنامه كاربردي را به‌درستي انتخاب و به نمايش بگذارند. پس از اينكه توسعه‌دهنده برنامه كاربردي يك برنامه را ايجاد كرد، مجوزهاي صحيح را به‌درستي انتخاب كرد و ليستي از كاربران هدفي كه درنهايت با اين مجوزها موافقت كرده‌اند را تهيه كرد، گوگل برنامه كاربردي توليدي را به‌منظور شناسايي بدافزار و تشخيص كدهاي مخرب مورد ارزيابي قرار خواهد داد. محدوده مجوزها براي تعامل برنامه كاربردي و اپليكيشن از اجازه دسترسي به بخش ويژه‌يي از سختافزار دستگاه (به عنوان‌مثال فلش دوربين عكاسي) آغاز مي‌شود و تا دسترسي به ليست مخاطبان كاربر ادامه مي‌يابد. كاربر نيز بايد با تمام مجوزهاي ليست شده قبل از نصب برنامه كاربردي موافقت كند.
درخواست ۱۲۷ مجوز ورود
مستندسازي مجوزها آن هم با وجود تنوع زياد مجوزها و نيازمندي‌هاي متفاوت برنامه‌هاي كاربردي از كاربران بسيار سخت است. مركز ماهر با ارائه گزارشي، مجوزهاي برنامه‌هاي موجود در فروشگاه گوگل پلي (Google Play) را با تمركز ويژه روي مجوزهايي كه به‌صورت بالقوه به برنامه كاربردي اين اجازه را مي‌دهند تا اطلاعات شخصي كاربر را جمع‌آوري يا به اشتراك بگذارند، بررسي كرده است. درمجموع با بررسي يك ميليون و ۴۱هزار و ۳۳۶برنامه كاربردي و اپليكيشن در اين آزمايش عنوان شد كه تنها ۲۳۵مجوز انحصاري و خاص وجود داشته است. بيشتر برنامه‌هاي كاربردي مجوزهاي زيادي را طلب مي‌كنند و بيشترين تعداد مجوزهاي درخواستي از برنامه‌هاي كاربردي اين آزمون تعداد ۱۲۷مجوز بوده است كه براي يك برنامه كاربردي مقدار بسيار زيادي است. برنامه‌هاي كاربردي ديگري هم هستند كه تعداد انگشت‌شماري مجوز درخواست مي‌كنند كه ميانگين مجوزهاي درخواستي از يك برنامه كاربردي تنها ۵ مجوز بوده است. در اين گزارش تحليلي بايد اشاره كرد كه ۱۰۰هزار برنامه نيز مجوزي را درخواست نكرده‌اند.
بيشترين براي فروشگاه Google Play
برمبناي بررسي‌هاي به عمل آمده، ۸۳ درصد از اپليكيشن‌هاي اندرويد در زمان نصب خواستار دسترسي كامل به شبكه(Full network access)، ۶۹ درصد خواستار مشاهده ارتباطات شبكه (View network connections) ۵۴ درصد خواستار دسترسي به حافظه حفاظت شده (Test access to protected storage)، ۲۷درصد خواستار مجوز براي جلوگيري از به خواب رفتن گوشي (Prevent device from sleeping) و ۲۱درصد خواستار كنترل لرزاننده (Control vibration) هستند كه به نوعي مجوز سخت افزاري محسوب مي‌شود. اين درحالي است كه ۵۴ درصد از اپليكيشن‌هاي اندرويدي خواستار تنظيم يا حذف محتواي موجود روي حافظه ۳۵درصد خواستار خواندن وضعيت تلفن و هويت (Read phone status and identity) و دسترسي به ويژگي‌هاي تلفن، ۲۴درصد خواستار مشاهده موقعيت مكاني دقيق (مبتني بر GPS و شبكه) و ۲۳ درصد نيز خواستار مشاهده ارتباطات بي‌سيم Wi-Fi و ۲۱درصد خواستار دريافت مجوز براي موقعيت تقريبي (مبتني بر شبكه) هستند كه به نوعي مجوز دريافت اطلاعات كاربر محسوب مي‌شود. از مجموع ۲۳۵ مجوز كه در اين گزارش تحليلي شناسايي شده‌اند تنها ۱۰مجوز توسط ۲۰درصد برنامه‌هاي كاربردي موجود در Google Play مورداستفاده قرارگرفته است و تعداد زيادي از مجوزها تنها توسط بخش اندكي از برنامه‌هاي كاربردي درخواست شده‌اند. اگر بخواهيم به‌صورت آماري نگاه كنيم تعداد ۱۰۰۰برنامه از مجموع يك ميليون و ۴۱هزار و ۳۳۶ برنامه كه 0۹/0درصد از تعداد كل برنامه‌هاي كاربردي مورد تحليل را شامل مي‌شوند، مقدار ۱۴۷مجوز از مجموع ۲۳۵ مجوز را درخواست كرده‌اند كه با توجه به كل برنامه‌هاي مورد ارزيابي مقدار زيادي از مجوزها را پوشش مي‌دهند. البته بايد اين نكته را نيز اضافه كرد كه مجموع مجوزهاي درخواستي از يك برنامه كاربردي به صراحت نمي‌تواند مشخص كند برنامه مورد نظر توانايي دسترسي به چه مقدار از اطلاعات كاربر را خواهد داشت. تناقضي كه وجود دارد اين است كه يك برنامه كاربردي تنها با يك مجوز توانايي دسترسي به‌تمامي اطلاعات كاربر را مي‌تواند داشته باشد درحالي كه يك برنامه كاربردي با تعداد مجوزهاي درخواستي فراوان تنها قابليت تعامل با اجزاي سخت افزاري دستگاه موردنظر را خواهد داشت!
درخواست مجوزهايي كه شايع ترند
تحليل ذكرشده به بررسي عميق‌تر روي اپليكيشن به‌ويژه نوع مجوزهاي درخواستي آنها در فروشگاه Google Play مي‌پردازد. بطور ويژه مجوزهايي كه نسبت به ساير مجوزها شايع‌تر هستند به دو دسته تقسيم مي‌شوند كه شامل مجوزهايي كه به برنامه كاربردي اين اجازه را مي‌دهند تا به اطلاعات كاربر دسترسي داشته باشند و مجوزهايي كه به برنامه كاربردي اجازه مي‌دهند تا به‌صورت مستقيم با دستگاه تعامل داشته باشند، مي‌شود. مركز ماهر تاكيد كرده است كه تعريف «اطلاعات كاربر» يك تعريف عام از اطلاعات كاربر است. مجوزهايي كه جهت دريافت اطلاعات كاربر صادر مي‌شوند، فرض شده‌اند كه هر نوع اطلاعات مربوط به كاربر را پوشش خواهند داد. به همين ترتيب مجوزهاي صادرشده مبتني بر دسترسي به سختافزار دستگاه نيز الزاما بخش مشخصي از سختافزار نخواهد بود. براين اساس برآوردها نشان مي‌دهد كه در فروشگاه اپليكيشن‌هاي اندرويد، از ۲۳۵مجوز انحصاري جمع‌آوري‌شده در اين تحليل، ۱۶۵ نوع از آنها به برنامه كاربردي اجازه مي‌دهند تا با اجزاي سخت‌افزاري يك دستگاه تعامل داشته باشند و سختافزار دستگاه را تحت كنترل قرار مي‌دهند و به برنامه اجازه دسترسي ديگري از جمله اطلاعات كاربر را نخواهد داد
