Nové bezpečnostní vylepšení Androidu omezuje aplikace třetích stran

Google připravuje pro Android nové bezpečnostní vylepšení. Funkce objevená v testovací verzi Android Canary 2602 rozšiřuje možnosti pokročilého ochranného režimu, který byl poprvé představen v Androidu 16.

Tato novinka má omezit aplikace využívající API AccessibilityService, pokud nejsou klasifikovány jako plnohodnotné nástroje pro přístupnost. Toto API bylo původně vytvořeno pro pomoc lidem se zdravotním postižením – umožňuje aplikacím číst obsah obrazovky, sledovat uživatelské akce a provádět gesta jejich jménem.

V průběhu času začaly AccessibilityService aktivně používat aplikace třetích stran, včetně automatizačních nástrojů, launcherů, „optimalizátorů“ a dokonce i antivirových programů. Formálně je to kvůli pohodlí, ale v praxi takové programy získávají rozšířená systémová oprávnění, což bylo často využíváno k obcházení omezení Androidu a potenciálním zneužitím.

Google již několik let postupně zpřísňuje pravidla. Aplikace skutečně určené pro lidi se speciálními potřebami musí uvádět atribut isAccessibilityTool. Mezi ně patří čtečky obrazovky, hlasové ovládání, gestové rozhraní a braillské systémy.

Podle analýzy testovací verze Android Canary systém při zapnutém pokročilém ochranném režimu zakazuje udělení oprávnění Accessibility Service aplikacím, které nejsou rozpoznány jako nástroje pro přístupnost, a automaticky odebírá dříve udělená oprávnění takovým programům.

Pokud aplikace na toto API kriticky spoléhá, může přestat fungovat úplně. Při testování byl například systémem zablokován nástroj dynamicSpot, který napodobuje Dynamic Island na Androidu, s označením „Omezeno pokročilou ochranou“. Důvodem je jeho použití AccessibilityService ke čtení oznámení a zobrazování prvků nad jinými aplikacemi.

Oficiální nástroje pro přístupnost nepodléhají novým omezením. Funkce by se měla objevit v budoucích verzích Androidu po dokončení testování.