Android 17 verbergt sms-codes voor apps: zo werkt het.

Een verificatiecode die u via sms ontvangt, is doorgaans slechts enkele minuten geldig. Die korte tijdspanne is voldoende voor een app met ongeautoriseerde toegang tot uw berichten om te proberen de code te lezen en te gebruiken voordat u dat kunt. Om dit risico te verkleinen, Android 17 breidt de bescherming uit voor sms-berichten die eenmalige wachtwoorden bevatten., ook wel bekend als OTP-codes.

De maatregel zorgt er niet voor dat het bericht drie uur nodig heeft om aan te komen. De gebruiker kan de code controleren zodra hij deze ontvangt.Wat Android in bepaalde gevallen vertraagt, is de toegang van andere applicaties tot de inhoud van sms-berichten. De mate waarin deze beperking geldt, hangt af van het berichtformaat en de Android-versie waarop de app draait.

Wat gebeurt er met sms-codes gedurende die drie uur?

Wanneer de beveiliging is ingeschakeld, voorkomt Android tijdelijk dat bepaalde apps het bericht kunnen lezen via de gebruikelijke methoden. drie uur na ontvangstHet systeem houdt de melding die de applicatie zou ontvangen tegen en filtert de aanvragen naar de berichtendatabase. Na die periode is het sms-bericht weer beschikbaar voor die apps.

Er is een belangrijk onderscheid. In berichten met WebOTP-formaatAndroid 17 beschermt code tegen ongewenste toepassingen op basis van domeinverificatie in het sms-bericht. Deze regel geldt ongeacht de Android-versie waarop de app is gericht. SMS-verificatie in standaardformaatDe nieuwe wachttijd heeft gevolgen voor de meeste apps die gericht zijn op Android 17 of later.

Er zijn uitzonderingen voor bepaalde applicaties, zoals apps die standaard sms-berichten beheren en sommige apps die gekoppeld zijn aan apparaten die met Android verbonden zijn. Het zou daarom onjuist zijn om te beweren dat Android alle code van alle applicaties zonder uitzondering verbergt.

Waarom je verder kunt lezen en de code kunt gebruiken

De wachttijd van drie uur Het blokkeert de ontvangst van berichten niet en dwingt de gebruiker ook niet te wachten met inloggen.Als de code in je berichtenapp binnenkomt, kun je deze openen en handmatig invoeren bij de service die erom heeft gevraagd.

Geautomatiseerde verificatiemethoden die hiervoor zijn ontworpen, kunnen ook gewoon blijven functioneren. SMS-ophaalapparaatHet bericht bevat een identificatiecode waarmee de ontvangende applicatie kan worden herkend. SMS-gebruikerstoestemmingAndroid vraagt ​​je toestemming om de inhoud van een specifiek bericht met een app te delen. In het geval van WebOTPHet sms-formaat koppelt de code aan een domein, waardoor deze op de bijbehorende website kan worden gebruikt.

Als een app na een update de code niet meer automatisch invult, betekent dit niet per se dat het sms-bericht verloren is gegaan. Open het bericht en voer de code handmatig in. Als het probleem aanhoudt, controleer dan of er een app-update beschikbaar is: het is aan de ontwikkelaars om de automatische verificatie aan te passen aan ondersteunde methoden.

Welke aanvallen worden door deze bescherming verminderd en welke blijven mogelijk?

De maatregel maakt een specifieke aanval moeilijker: een app die sms-berichten kan lezen, zou direct een code kunnen onderscheppen die bedoeld is voor een andere dienst. Omdat veel codes snel verlopen, Door het uitlezen ervan door andere applicaties te vertragen, wordt het minder bruikbaar voor een aanvaller..

Dat maakt sms'en geen waterdichte authenticatiemethode. Een nepwebsite kan nog steeds proberen je te verleiden de code in te voeren, en je moet de code nooit delen met iemand die je belt of sms't en zich voordoet als je bank. De beveiliging van Android beperkt de toegang van apps tot bepaalde berichten; het kan niet voor je bepalen of een website of persoon betrouwbaar is.

Controleer voor de zekerheid welke apps toegang hebben tot je sms-berichten en trek die toestemming in wanneer je die niet meer nodig hebt. Als een dienst je toegang tot je sms-berichten aanbiedt, is het raadzaam om dit te controleren. toegangssleutels of een authenticatietoepassingOverweeg deze opties om minder afhankelijk te worden van codes die via sms worden verzonden.

Andere privacyverbeteringen in Android 17

OTP-beveiliging maakt deel uit van een bredere reeks wijzigingen. Android 17 introduceert de toestemming. TOEGANG TOT LOKAAL NETWERK Voor apps die op deze versie gericht zijn en die met apparaten op het lokale netwerk moeten communiceren, kunnen ontwikkelaars in bepaalde gevallen ook gebruikmaken van door het systeem beheerde apparaatselectoren, zonder volledige netwerktoegang aan te vragen.

Een andere nieuwe functie is de ondersteuning voor Versleutelde client-hallo (ECH)ECH is een technologie die de domeinnaam kan verbergen tijdens het tot stand brengen van een versleutelde verbinding. Het effectieve gebruik ervan hangt af van de compatibiliteit van de netwerkbibliotheek van de applicatie en de externe server. Het hebben van Android 17 betekent dus niet automatisch dat alle verbindingen ECH zullen gebruiken.

Deze maatregelen beschermen tegen verschillende situaties. In het geval van sms-codes is het basisidee eenvoudig: Je ontvangt het bericht normaal, maar Android beperkt tijdelijk wie het via een app kan lezen.Weten welke berichten en applicaties gedekt zijn, helpt om de verbetering te begrijpen zonder er absolute bescherming aan toe te schrijven.