Android 17 ukrywa kody SMS przed aplikacjami: oto jak to działa

Kod weryfikacyjny otrzymany SMS-em zazwyczaj działa tylko kilka minut. To krótkie okienko to wystarczająco dużo czasu, aby aplikacja z nieautoryzowanym dostępem do Twoich wiadomości mogła spróbować go odczytać i wykorzystać przed Tobą. Aby zminimalizować to ryzyko, Android 17 rozszerza ochronę wiadomości SMS zawierających hasła jednorazowe, znane również jako kody OTP.

Dzięki temu rozwiązaniu wiadomość nie dotrze w ciągu trzech godzin. Użytkownik może sprawdzić kod po jego otrzymaniu.W niektórych przypadkach Android opóźnia dostęp innych aplikacji do treści SMS-ów. Zakres tego ograniczenia zależy od formatu wiadomości i wersji Androida, na której działa aplikacja.

Co dzieje się z kodami SMS w ciągu trzech godzin?

Po włączeniu ochrony system Android tymczasowo uniemożliwia niektórym aplikacjom dostęp do wiadomości za pomocą standardowych mechanizmów odczytu wiadomości SMS. trzy godziny od otrzymaniaSystem wstrzymuje powiadomienie, które aplikacja miałaby otrzymać, i filtruje zapytania do bazy wiadomości. Po tym okresie SMS-y stają się ponownie dostępne dla tych aplikacji.

Istnieje ważne rozróżnienie. W wiadomościach z Format WebOTPAndroid 17 chroni kod przed niepożądanymi aplikacjami na podstawie weryfikacji domeny zawartej w SMS-ie. Zasada ta obowiązuje niezależnie od wersji Androida, na którą skierowana jest aplikacja. Standardowy format SMS weryfikacyjnyNowa opcja oczekiwania dotyczy większości aplikacji przeznaczonych na system Android 17 i nowsze.

Istnieją wyjątki dla niektórych aplikacji, takich jak aplikacje domyślnie zarządzające wiadomościami SMS oraz niektóre aplikacje powiązane z urządzeniami towarzyszącymi. Dlatego twierdzenie, że Android ukrywa wszystkie kody we wszystkich aplikacjach bez wyjątku, byłoby nieprawdziwe.

Dlaczego możesz kontynuować czytanie i korzystanie z kodu

Trzygodzinne oczekiwanie Nie blokuje odbioru wiadomości i nie zmusza użytkownika do czekania na zalogowanieJeśli kod zostanie dostarczony do Twojej aplikacji do przesyłania wiadomości, możesz go otworzyć i ręcznie wprowadzić w usłudze, która o niego poprosiła.

Zautomatyzowane metody weryfikacji opracowane w tym celu mogą nadal działać. Odzyskiwanie SMS-ówWiadomość zawiera identyfikator umożliwiający rozpoznanie aplikacji odbiorcy. Zgoda użytkownika SMSAndroid prosi o zgodę na udostępnienie treści konkretnej wiadomości aplikacji. W przypadku WebOTPFormat SMS łączy kod z domeną, aby ułatwić jego wykorzystanie na odpowiedniej stronie internetowej.

Jeśli aplikacja przestaje automatycznie uzupełniać kod po aktualizacji, nie oznacza to, że SMS został utracony. Otwórz wiadomość i wpisz kod ręcznie. Jeśli problem będzie się powtarzał, sprawdź dostępność aktualizacji aplikacji: to twórcy aplikacji muszą dostosować automatyczną weryfikację do obsługiwanych metod.

Jakie ataki ogranicza ta ochrona, a które pozostają możliwe?

Ten środek utrudnia konkretny atak: aplikacja zdolna do odczytu wiadomości SMS mogłaby natychmiast przechwycić kod przeznaczony dla innej usługi. Ponieważ wiele kodów szybko traci ważność, Opóźnienie odczytu pliku przez inne aplikacje zmniejsza jego użyteczność dla atakującego..

Nie czyni to SMS-ów niezawodną metodą uwierzytelniania. Fałszywa strona internetowa nadal może próbować nakłonić Cię do wprowadzenia kodu, dlatego nie powinieneś udostępniać go nikomu, kto dzwoni lub wysyła SMS-y podszywając się pod Twój bank. Ochrona Androida ogranicza dostęp aplikacji do niektórych wiadomości; nie może za Ciebie ocenić, czy dana strona internetowa lub osoba jest godna zaufania.

Jako dodatkowy środek ostrożności sprawdź, które aplikacje mają uprawnienia dostępu do Twoich wiadomości SMS i cofnij je, gdy nie będą już potrzebne. Jeśli usługa oferuje klucze dostępu lub aplikacja uwierzytelniającaMożesz rozważyć te opcje, aby zmniejszyć konieczność korzystania z kodów wysyłanych za pośrednictwem wiadomości tekstowych.

Inne ulepszenia prywatności w systemie Android 17

Ochrona OTP jest częścią szerszego zestawu zmian. Android 17 wprowadza uprawnienie DOSTĘP DO SIECI LOKALNEJ W przypadku aplikacji przeznaczonych dla tej wersji, które muszą komunikować się z urządzeniami w sieci lokalnej, twórcy oprogramowania mogą w pewnych przypadkach skorzystać także z selektorów urządzeń zarządzanych przez system, bez konieczności żądania pełnego dostępu do sieci.

Kolejną nową funkcją jest obsługa Szyfrowane powitanie klienta (ECH)ECH to technologia, która pozwala ukryć nazwę domeny podczas nawiązywania szyfrowanego połączenia. Jej efektywne wykorzystanie zależy od kompatybilności biblioteki sieciowej aplikacji i serwera zdalnego. Dlatego posiadanie Androida 17 nie oznacza automatycznie, że wszystkie połączenia będą korzystać z ECH.

Te środki zabezpieczają różne sytuacje. W przypadku kodów SMS, podstawowa idea jest prosta: Wiadomość jest odbierana normalnie, ale Android tymczasowo ogranicza liczbę osób, które mogą ją odczytać za pośrednictwem aplikacjiWiedza o tym, które wiadomości i aplikacje są objęte ochroną, pomaga zrozumieć poprawę, nie przypisując jej jednak całkowitej ochrony.