חדשות על המוצר

שיפור האבטחה ב-Android: איך למנוע מתוכנות זדוניות לעקוב אחרי נתוני האפליקציות שלכם

משך הקריאה: 2 דקות
לצפייה בפרופיל של Bennet Manuel לצפייה בפרופיל של רוברט קליפורד
Bennet Manuel וגם Robert Clifford

האבטחה היא הבסיס של Android. אנחנו משתפים איתכם פעולה כדי לשמור על בטיחות הפלטפורמה ולהגן על נתוני המשתמשים, ומציעים תכונות וכלים מתקדמים לאבטחה, כמו Credential Manager ו-FLAG_SECURE. כל גרסה של Android כוללת שיפורים בביצועים ובאבטחה, וב-Android 16 אתם יכולים לבצע פעולות פשוטות ומשמעותיות כדי לחזק את ההגנה על האפליקציה. כדי לקבל מידע נוסף על אמצעי ההגנה המשופרים שלנו לממשקי API להטמעת תכונות נגישות, אתם יכולים לצפות בסרטון שלנו או להמשיך לקרוא.

 

 

הגנה על האפליקציה מפני ריגול באמצעות שורת קוד אחת

ראינו שגורמים זדוניים מנסים לפעמים לנצל תכונות של ממשקי API להטמעת תכונות נגישות כדי לקרוא מידע רגיש, כמו סיסמאות ופרטים פיננסיים, ישירות מהמסך, ולשלוט במכשיר של המשתמש על ידי הזרקת נגיעות. כדי להתמודד עם הבעיה הזו, ב-Android 16 יש הגנה חדשה וחזקה בשורת קוד אחת: accessibilityDataSensitive.

הדגל accessibilityDataSensitive מאפשר לסמן באופן מפורש תצוגה או רכיב Composable כמכילים מידע רגיש. כשמגדירים את הדגל הזה לערך true באפליקציה, למעשה חוסמים אפליקציות שעלולות להיות זדוניות מלגשת לנתוני התצוגה הרגישים או לבצע בהם אינטראקציות. כך זה עובד: כל אפליקציה שמבקשת הרשאת נגישות ולא הצהירה במפורש שהיא כלי נגישות לגיטימי (isAccessibilityTool=true) לא מקבלת גישה לתצוגה הזו.

השינוי הפשוט אך היעיל הזה עוזר למנוע מתוכנות זדוניות לגנוב מידע ולבצע פעולות לא מורשות, בלי להשפיע על חוויית המשתמשים בכלים לגיטימיים לנגישות. הערה: אם אפליקציה היא לא כלי נגישות אבל מבקשת הרשאות נגישות ומגדירה את isAccessibilityTool=true, המערכת של Play תדחה אותה ו-Google Play Protect יחסום אותה במכשירי המשתמשים. 

אבטחה אוטומטית ומשופרת להגנה על setFilterTouchesWhenObscured

כבר שילבנו את פונקציונליות האבטחה החדשה של accessibilityDataSensitive עם השיטה הקיימת של setFilterTouchesWhenObscured. 

אם אתם כבר משתמשים ב-setFilterTouchesWhenObscured(true) כדי להגן על האפליקציה מפני חטיפת קליקים, התצוגות שלכם מטופלות באופן אוטומטי כנתונים רגישים לצורכי נגישות. השיפור של השיטה setFilterTouchesWhenObscured באמצעות אמצעי ההגנה של accessibilityDataSensitive מאפשר לנו לספק לכולם באופן מיידי שכבת הגנה נוספת בלי שיידרש מהם מאמץ נוסף.

image.png

תחילת העבודה

מומלץ להשתמש ב-setFilterTouchesWhenObscured, או לחלופין בדגל accessibilityDataSensitive, בכל מסך שמכיל מידע רגיש, כולל דפי התחברות, תהליכי תשלום וכל תצוגה שמופיעים בה נתונים אישיים או פיננסיים.

ב-Jetpack Compose

setFilterTouchesWhenObscuredaccessibilityDataSensitive

 

val composeView = LocalView.current DisposableEffect(Unit) { composeView.filterTouchesWhenObscured = true onDispose { composeView.filterTouchesWhenObscured = false } }

 

משתמשים במשנה semantics כדי להחיל את המאפיין sensitiveData על רכיב קומפוזבילי.

BasicText { text = “Your password”,

            modifier = Modifier.semantics {

                sensitiveData = true }}

 

 

לאפליקציות שמבוססות על תצוגות

בפריסת ה-XML, מוסיפים את המאפיין הרלוונטי לתצוגה הרגישה.

setFilterTouchesWhenObscuredaccessibilityDataSensitive

 

<TextView android:filterTouchesWhenObscured="true" />

 

 

<TextView android:accessibilityDataSensitive="true" />

 

לחלופין, אפשר להגדיר את המאפיין באופן פרוגרמטי ב-Java או ב-Kotlin:

setFilterTouchesWhenObscuredaccessibilityDataSensitive

 

myView.filterTouchesWhenObscured = true;

 

 

myView.isAccessibilityDataSensitive = true;

 

 

myView.setFilterTouchesWhenObscured(true)

 

 

myView.setAccessibilityDataSensitive(true);

 

מידע נוסף על הדגלים accessibilityDataSensitive ו-setFilterTouchesWhenObscured זמין במדריך בנושא חטיפת קליקים.

אנחנו משתפים פעולה עם מפתחים כדי להגן על המשתמשים

עבדנו עם מפתחים בשלב מוקדם כדי לוודא שהתכונה הזו עונה על צרכים אמיתיים ומשתלבת בצורה חלקה בתהליך העבודה שלכם.

image.png

"תמיד נתנו עדיפות להגנה על הנתונים הפיננסיים הרגישים של הלקוחות שלנו, ולכן היינו צריכים לפתח שכבת הגנה משלנו מפני תוכנות זדוניות שמבוססות על נגישות. אנחנו ב-Revolut תומכים מאוד בהשקה של ה-API הרשמי החדש הזה ל-Android, כי הוא מאפשר לנו להפסיק בהדרגה את השימוש בקוד המותאם אישית שלנו, ולהתחיל להשתמש בהגנה חזקה על הפלטפורמה בשורה אחת." 
– ולדימיר קוז'בניקוב, מהנדס Android ב-Revolut

אתם יכולים להשתמש בתכונות האלה כדי להגן על המשתמשים שלכם מפני התקפות זדוניות שמבוססות על נגישות. אנחנו ממליצים לכל המפתחים לשלב את התכונות האלה באפליקציות שלהם כדי לשמור על בטיחות המשתמשים. 

ביחד, אנחנו יכולים ליצור חוויה בטוחה ואמינה יותר לכולם.

כותב/ת המסמך:
להמשך קריאה