Android tilladelsesmodel suger i forhold til apple ios '

Vi opgiver en hel del sikkerhed og privatliv, når vi downloader apps fra Apples App Store og Google Play. Vi stopper sjældent for at undersøge, hvad apps gør på vores enheder og med vores data, og glemmer, at udviklere ikke prioriterer brugernes privatliv, når de bygger appen.

"Det, som jeg ikke tror, ​​at folk er klar over, at vi ikke er kunden til disse gratis apps. Annoncørerne er, " siger Michael Sutton, Zscaler's vicepræsident for sikkerhedsundersøgelser, til Security Watch.

Udviklerne tænker over, hvad annoncørerne vil have, når de bygger disse apps, og det er oplysninger om brugere og muligheden for at spore brugeraktivitet, sagde Sutton. Så når det kommer til apptilladelser er der intet, der forhindrer udviklere i at bede om mere, end de har brug for. De fleste mennesker læser ikke tilladelseslisten, før de accepterer dem alle for at installere appen, og folk klager generelt ikke, hvis appen ser ud til at bede om for mange. Der er tilfælde, hvor udviklere beder om tilladelser, uanset om de faktisk har brug for dem.

Faktisk er der "intet incitament for dem ikke at gøre det, især ikke på Android-siden af ​​huset, " sagde Sutton.

ZScaler Research Findings

Forskere fra Zscaler ThreatLabz analyserede 550 iOS-apps og 75.000 Android-apps for at forstå, hvordan de to mobile operativsystemer nærmer sig privatliv og sikkerhed. I sin statiske analyse kiggede teamet efter faktiske forekomster i koden, hvor funktioner, der kræver bestemte niveauer af adgang, blev kaldt. På denne måde kunne de verificere, at funktionen faktisk brugte den tilladelse, den havde bedt om.

Resultaterne er ganske dybtgående og fascinerende, såsom det faktum, at mere end 60 procent af iOS-apps i kategorien "Game and Entertainment" anmoder om tilladelse til telefonfunktioner og geo-placering. Zscaler kaldte denne konstatering "foruroligende" og bemærkede, at der for nylig har været rapporter om apps, der spionerer efter brugeraktivitet. Dette antal er højere for Lifestyle-apps, med 81 procent, der anmoder om funktionalitet. I alt bad 34 procent af iOS-apps tilladelse til at få adgang til adressebogen, 83 procent anmodede om e-mail-adgang og 46 procent kunne læse brugerens kalender.

"Med 97 procent apps, der bruger mindst en af ​​de funktionaliteter, der spores (adressebog, telefoni, placering, e-mail-kalender eller UUID), som nævnt, forbruges vi lige så meget, hvis ikke mere, end vi spiser, " skrev Zscaler om bloggen.

På Android-siden fandt Zscaler, at 68 procent af apps, der anmoder om SMS-tilladelser, beder om muligheden for at sende SMS-beskeder. Dette er noget at bekymre sig om, i betragtning af populariteten af ​​SMS-svig og spam, der narrer brugerne til at sende meddelelser til premiumnumre. Yderligere 28 procent af apps med SMS-tilladelser beder også om muligheden for at læse SMS-beskeder. Dette er også et andet problem, når du overvejer antallet af mobile banksider og andre tjenester, der sender koder via SMS til tofaktorautentisering eller for at bekræfte specifikke transaktioner. "Det er en meget risikabel tilladelse til at give en app, " sagde Sutton og bemærkede, at Apple ikke engang giver denne tilladelse.

Den gode ting er, at i øjeblikket beder mindre end 10 procent af apps i øjeblikket om SMS-tilladelser. Men stadig.

Af de analyserede Android-apps fandt Zscaler, at 36 procent anmodede om placeringsoplysninger og 46 procent bad om telefonens tilstandstilladelse, hvilket giver apps adgang til SIM-kortoplysninger og telefonens unikke IMEI-id.

"Det er en delikat balance mellem hvad vi er villige til at opgive i bytte for en gratis ansøgning, " sagde Sutton.

Android udsætter brugere for flere risici

Det største problem, hvad angår Sutton, var det faktum, at Android ikke gav brugerne nogen kontrol over, hvilke tilladelser apps kunne have. "Jeg er ikke fan af alt-eller-ingen-modellen i Android, " sagde Sutton og kaldte den "farlig."

Det er lidt trist, fordi Android faktisk går længere end iOS med at give udviklere meget kornede niveauer af kontrol. Dette kontrolniveau overføres dog ikke til selve appen, da hvis brugeren ikke kan lide en bestemt tilladelse, som appen beder om, kan brugeren ikke installere appen. Apple installerer på den anden side iOS-appen, og når en bestemt funktionalitet er nødvendig, beder brugeren om tilladelse.

"Det er en ting, Apple gør bedre, " sagde Sutton. Han sagde, at den "overordnede tilgang" til tilladelser under iOS-modellen gør et bedre job med at beskytte forbrugerne.

Apple har også kæmpet for at forhindre udviklere i at spore enheder, sagde Sutton. Udviklere fik oprindeligt tilladelse til at forespørge enhedens unikke UDID, som annoncører kunne bruge til at oprette profiler og forstå, hvilken slags apps brugerne brugte. Selvom Apple har forbudt brugen af ​​UDID, fandt Zscaler, at 38 procent af iOS-apps i sin analyse stadig havde adgang. Apple har også forbudt udviklere at spore MAC-adresser. UUID er den foretrukne tilgang, da det er en unik værdi genereret pr. App og enhed, der forhindrer annoncører i at spore brugere på tværs af apps.

Apple har "virkelig kæmpet for at forhindre udviklere i at spore enheder, " sagde Sutton. "Google har ikke gjort noget på det område."