Autorisations des applications mobiles

Qu'est-ce que Autorisations des applications mobiles?

The dangerous app is rarely the sideloaded one. It is the free QR scanner from the official store, well reviewed and widely installed, asking for your contacts and calendar the moment it opens. Store review screens for malware but lets much excessive scope through. You answer an app's runtime permission prompts one at a time, then follow an exfiltration alert to two utility apps on a work phone, audit their permissions, uninstall one, revoke the other's extras, and apply one test: name the feature each permission powers.

Ce que vous apprendrez dans Autorisations des applications mobiles

• Reconnaître que l'examen du Play Store et de l'App Store détecte les logiciels malveillants et les violations des politiques, mais ne détecte pas toutes les autorisations qui dépassent l'objectif déclaré d'une application.
• Répondez aux invites d'autorisation d'exécution Android une par une, en autorisant ce dont l'objectif d'une application a besoin et en appuyant sur Ne pas autoriser sur le reste
• Appliquez la règle d'une phrase lors de l'examen des demandes d'autorisation : si vous ne pouvez pas nommer la fonctionnalité destinée aux utilisateurs grâce à une autorisation, la réponse est non.
• Identifiez le microphone, les contacts et le calendrier comme des autorisations à fort effet de levier qui justifient l'examen le plus approfondi de toute application non essentielle.
• Vérifiez les autorisations des applications installées dans les paramètres de l'appareil et choisissez entre une révocation chirurgicale et une désinstallation complète selon que l'application a activement abusé de ses autorisations.
• Adopter une routine d'audit trimestriel des autorisations pour les téléphones professionnels, en traitant les appareils mobiles avec la même hygiène que celle appliquée aux ordinateurs portables et aux postes de travail.

Autorisations des applications mobiles — Étapes de la formation

1. Un scanner QR pour les appels des membres

   Wednesday morning. Alice is on a call with a member who is reading off a stack of paper claim receipts. The native camera app can photograph each receipt, but the company-issued claim app needs the QR code from the back of each one - and the camera cannot extract it. She needs a free QR scanner, and she needs one in the next thirty seconds.

2. Recherche d'un scanner QR

   Le Play Store se charge. Les applications en vedette remplissent l'écran d'accueil et une grande barre de recherche se trouve en haut.

3. Choisir le meilleur résultat

   Quatre résultats reviennent. ScanZap Pro est au top - 4,8 étoiles, plus d'un million de téléchargements, gratuit, sans reproches. Alice devrait le faire défiler pour voir les alternatives.

4. Appuyez sur Installer

   La page de détails de l'application se charge. Étoiles, téléchargements, captures d'écran et un bouton vert Install en haut. L'éditeur est RegionWave Software - ce n'est pas un nom qu'Alice reconnaît, mais avec plus d'un million de téléchargements et 4,8 étoiles, elle ne regarde pas à deux fois la signature. Elle appuie sur Installer. Remarquez ce qui ne se produit pas : aucune liste d'autorisations à accepter. Depuis Android 6, une installation du Play Store ne demande rien au départ.

5. Premier lancement : l'invite de l'appareil photo

   Alice ouvre ScanZap Pro. L'écran de lancement de ScanZap Pro apparaît et avant d'afficher un viseur, Android place une boîte de dialogue dessus : Autoriser ScanZap Pro à prendre des photos et à enregistrer des vidéos ? Il s'agit d'une invite d'autorisation d'exécution. Android en affiche une pour chaque groupe d'autorisations sensibles, une à la fois, lorsque l'application le demande pour la première fois. La lecture d'un code QR est tout l'intérêt d'un scanner QR, donc celui-ci a du sens.

6. Des contacts ? Pour un scanner QR ?

   Le viseur n'est toujours pas apparu. Une deuxième boîte de dialogue remplace la première : Autoriser ScanZap Pro à accéder à vos contacts ? Aucun code QR n'a besoin du carnet d'adresses d'Alice, et sur son téléphone professionnel, ce carnet d'adresses contient les membres, les courtiers et les collègues. L'invite demande quelque chose que le but de l'application ne peut pas expliquer.

7. Et le calendrier

   One more dialog: Allow ScanZap Pro to access your calendar? Nothing on the listing says why a QR scanner would need it. Even an app that adds events from QR codes can hand a new event to the Calendar app without reading Alice's calendar at all. Reading it would give the publisher every meeting title, attendee and dial-in code for her claim reviews.

8. Le scanner fonctionne quand même

   Deux refus, et rien ne casse. ScanZap Pro lit le code QR sur le premier reçu et Alice efface la pile du membre avant la fin de l'appel. Autoriser l'appareil photo et refuser les contacts et le calendrier ne lui coûte rien. Deux semaines plus tard, lors d'une coupure de courant chez elle, elle installe une lampe de poche gratuite appelée Bright Torch . Il demande l'appareil photo, l'emplacement, les contacts et l'accès à ses fichiers, une boîte de dialogue après l'autre, et elle appuie sur Autoriser sur chacun pour allumer la lumière.

9. Un lundi matin tranquille

   Il est 7h18 et Alice est dans son bureau à domicile avec son premier café. ScanZap Pro est toujours sur son téléphone, lisant toujours les reçus à chaque fois qu'un membre appelle, avec la seule autorisation qu'elle lui a donnée. Bright Torch est toujours là aussi, retenant tout ce qu'elle a utilisé pendant la coupure de courant. Les deux sont en règle sur le Play Store. C’est du moins ce qu’il semble.

10. Un e-mail du SOC

    Un nouvel e-mail provenant du centre des opérations de sécurité de Riverstone se trouve en haut de sa boîte de réception – étiqueté urgent et intitulé d'une manière qui gâche sa matinée avant qu'elle n'ait fini son café. Le SOC a reconstruit exactement ce à quoi chaque application de son téléphone accédait.