Android 17 ẩn mã xác nhận SMS khỏi ứng dụng: đây là cách thức hoạt động

Mã xác minh nhận được qua tin nhắn SMS thường chỉ có hiệu lực trong vài phút. Khoảng thời gian ngắn ngủi đó đủ để một ứng dụng có quyền truy cập trái phép vào tin nhắn của bạn cố gắng đọc và sử dụng nó trước khi bạn kịp làm gì. Để giảm thiểu rủi ro này, Android 17 mở rộng khả năng bảo vệ cho tin nhắn SMS chứa mật khẩu dùng một lần., còn được gọi là mã OTP.

Biện pháp này không khiến tin nhắn mất ba tiếng để đến nơi. Người dùng có thể kiểm tra mã khi nhận được.Trong một số trường hợp, Android trì hoãn việc các ứng dụng khác truy cập vào nội dung tin nhắn SMS. Mức độ hạn chế này phụ thuộc vào định dạng tin nhắn và phiên bản Android mà ứng dụng đang chạy.

Mã SMS sẽ biến mất như thế nào trong vòng ba giờ đó?

Khi chế độ bảo vệ được kích hoạt, Android tạm thời ngăn chặn một số ứng dụng truy cập tin nhắn bằng các cơ chế đọc tin nhắn SMS thông thường. ba giờ sau khi nhận đượcHệ thống sẽ tạm giữ thông báo mà ứng dụng dự kiến ​​nhận được và lọc các truy vấn đến cơ sở dữ liệu tin nhắn. Sau khoảng thời gian đó, tin nhắn SMS sẽ lại khả dụng cho các ứng dụng đó.

Có một sự khác biệt quan trọng. Trong các tin nhắn với Định dạng WebOTPAndroid 17 bảo vệ mã nguồn khỏi các ứng dụng không mong muốn, dựa trên việc xác minh tên miền được bao gồm trong tin nhắn SMS. Quy tắc này áp dụng bất kể phiên bản Android mà ứng dụng nhắm đến. Tin nhắn SMS xác minh theo định dạng chuẩnThời gian chờ mới này ảnh hưởng đến hầu hết các ứng dụng nhắm đến Android 17 trở lên.

Tuy nhiên, cũng có một số ngoại lệ đối với một số ứng dụng nhất định, chẳng hạn như các ứng dụng quản lý tin nhắn SMS theo mặc định và một số ứng dụng liên kết với thiết bị phụ trợ. Do đó, sẽ không chính xác nếu khẳng định rằng Android ẩn tất cả mã từ mọi ứng dụng mà không có ngoại lệ.

Vì sao bạn có thể tiếp tục đọc và sử dụng mã này?

Thời gian chờ đợi ba tiếng đồng hồ Nó không chặn việc nhận tin nhắn hoặc buộc người dùng phải chờ để đăng nhập.Nếu mã được gửi đến ứng dụng nhắn tin của bạn, bạn có thể mở nó ra và nhập thủ công vào dịch vụ đã yêu cầu mã đó.

Các phương pháp xác minh tự động được thiết kế cho mục đích này cũng có thể tiếp tục hoạt động. Trình truy xuất SMSThông điệp này bao gồm một mã định danh cho phép nhận dạng ứng dụng nhận. Sự đồng ý của người dùng qua SMSAndroid yêu cầu bạn cho phép chia sẻ nội dung của một tin nhắn cụ thể với một ứng dụng. Trong trường hợp này, WebOTPĐịnh dạng tin nhắn SMS liên kết mã với một tên miền để tạo điều kiện thuận lợi cho việc sử dụng mã đó trên trang web tương ứng.

Nếu ứng dụng ngừng tự động điền mã sau khi cập nhật, điều đó không nhất thiết có nghĩa là tin nhắn SMS đã bị mất. Hãy mở tin nhắn và nhập mã thủ công. Nếu sự cố vẫn tiếp diễn, hãy kiểm tra xem ứng dụng có được cập nhật hay không: việc điều chỉnh tính năng xác thực tự động cho phù hợp với các phương thức được hỗ trợ là trách nhiệm của nhà phát triển.

Lớp bảo vệ này giúp giảm thiểu những cuộc tấn công nào, và những cuộc tấn công nào vẫn có thể xảy ra?

Biện pháp này khiến một cuộc tấn công cụ thể trở nên khó khăn hơn: một ứng dụng có khả năng đọc tin nhắn SMS có thể ngay lập tức thu thập được mã dành cho một dịch vụ khác. Vì nhiều mã hết hạn nhanh chóng, Việc trì hoãn việc đọc nó bởi các ứng dụng khác sẽ làm giảm tính hữu ích của nó đối với kẻ tấn công..

Điều đó không có nghĩa là SMS là phương pháp xác thực hoàn hảo. Một trang web giả mạo vẫn có thể cố gắng lừa bạn nhập mã, và bạn không nên chia sẻ mã đó với bất kỳ ai gọi điện hoặc nhắn tin cho bạn giả vờ là ngân hàng của bạn. Hệ thống bảo vệ của Android giới hạn quyền truy cập của ứng dụng vào một số tin nhắn nhất định; nó không thể tự quyết định xem một trang web hoặc người nào đó có đáng tin cậy hay không.

Để đề phòng thêm, hãy kiểm tra xem ứng dụng nào có quyền truy cập vào tin nhắn SMS của bạn và thu hồi quyền đó khi không còn cần thiết nữa. Nếu một dịch vụ cung cấp khóa truy cập hoặc ứng dụng xác thựcBạn có thể cân nhắc những lựa chọn này để giảm sự phụ thuộc vào mã được gửi qua tin nhắn văn bản.

Những cải tiến khác về quyền riêng tư trong Android 17

Bảo vệ bằng mã OTP là một phần của loạt thay đổi rộng hơn. Android 17 giới thiệu quyền này. TRUY CẬP MẠNG CỤC BỘ Đối với các ứng dụng nhắm mục tiêu vào phiên bản này cần giao tiếp với các thiết bị trên mạng cục bộ, nhà phát triển cũng có thể sử dụng bộ chọn thiết bị do hệ thống quản lý trong một số trường hợp nhất định, mà không cần yêu cầu quyền truy cập mạng đầy đủ.

Một tính năng mới khác là hỗ trợ cho Lời chào từ phía máy khách được mã hóa (ECH)ECH là một công nghệ có thể che giấu tên miền trong quá trình thiết lập kết nối mã hóa. Việc sử dụng hiệu quả công nghệ này phụ thuộc vào khả năng tương thích giữa thư viện mạng của ứng dụng và máy chủ từ xa. Do đó, việc có Android 17 không tự động có nghĩa là tất cả các kết nối sẽ sử dụng ECH.

Những biện pháp này bảo vệ trong nhiều tình huống khác nhau. Đối với mã SMS, ý tưởng cốt lõi rất đơn giản: Bạn vẫn nhận được tin nhắn như bình thường, trong khi Android tạm thời giới hạn những người khác có thể đọc tin nhắn đó thông qua ứng dụng.Việc biết được những tin nhắn và ứng dụng nào được hỗ trợ giúp hiểu được sự cải thiện mà không nhất thiết phải khẳng định đó là sự bảo vệ tuyệt đối.