Android güvenliğini artırma: Kötü amaçlı yazılımların uygulama verilerinizi izinsiz dinlemesini önleme

Güvenlik, Android'in temelini oluşturur. Kimlik Bilgisi Yöneticisi ve FLAG_SECURE gibi güçlü güvenlik araçları ve özellikleri sunarak platformun güvenliğini sağlamak ve kullanıcı verilerini korumak için sizinle birlikte çalışıyoruz. Her Android sürümü, performans ve güvenlik iyileştirmeleri sunar. Android 16 ile uygulamanızın savunmasını güçlendirmek için basit ama önemli adımlar atabilirsiniz. Erişilebilirlik API'leri için gelişmiş korumalarımız hakkında daha fazla bilgi edinmek isterseniz videomuzu izleyebilir veya okumaya devam edebilirsiniz.

Tek bir kod satırıyla uygulamanızı izinsiz erişime karşı koruyun

Kötü niyetli kişilerin bazen şifreler ve finansal bilgiler gibi hassas bilgileri doğrudan ekrandan okumak ve dokunma ekleyerek kullanıcının cihazını manipüle etmek için Accessibility API özelliklerini kötüye kullanmaya çalıştığını gördük. Android 16, bu sorunu çözmek için tek bir kod satırında yeni ve güçlü bir savunma sunar: accessibilityDataSensitive.

accessibilityDataSensitive işareti, bir görünümü veya composable'ı hassas veriler içeriyor olarak açıkça işaretlemenize olanak tanır. Uygulamanızda bu işareti true olarak ayarladığınızda, kötü amaçlı olabilecek uygulamaların hassas görünüm verilerinize erişmesini veya bu verilerle etkileşimde bulunmasını engellemiş olursunuz. Bu özellik şu şekilde çalışır: Erişilebilirlik izni isteyen ancak kendisini açıkça meşru bir erişilebilirlik aracı olarak beyan etmeyen (isAccessibilityTool=true) uygulamaların bu görünüme erişimi reddedilir.

Bu basit ama etkili değişiklik, kötü amaçlı yazılımların bilgi çalmasını ve yetkisiz işlemler gerçekleştirmesini önlemeye yardımcı olur. Bu sırada kullanıcıların meşru erişilebilirlik araçlarıyla ilgili deneyimleri etkilenmez. Not: Erişilebilirlik aracı olmayan ancak erişilebilirlik izinleri isteyen ve isAccessibilityTool=true ayarını yapan uygulamalar Google Play tarafından reddedilir ve Google Play Protect tarafından kullanıcı cihazlarında engellenir. 

setFilterTouchesWhenObscured koruması için otomatik, gelişmiş güvenlik

Bu yeni accessibilityDataSensitive güvenlik işlevini mevcut setFilterTouchesWhenObscured yöntemine entegre ettik. 

Uygulamanızı dokunma hırsızlığından korumak için zaten setFilterTouchesWhenObscured(true) kullanıyorsanız görünümleriniz erişilebilirlik için otomatik olarak hassas veri olarak değerlendirilir. setFilterTouchesWhenObscured yöntemini accessibilityDataSensitive korumalarıyla geliştirerek herkese anında ve ek bir işlem yapmaya gerek kalmadan ek bir savunma katmanı sağlıyoruz.

Başlarken

Giriş sayfaları, ödeme akışları ve kişisel ya da finansal verileri gösteren tüm görünümler de dahil olmak üzere hassas bilgiler içeren tüm ekranlarda setFilterTouchesWhenObscured veya alternatif olarak accessibilityDataSensitive işaretini kullanmanızı öneririz.

Jetpack Compose için

val composeView = LocalView.current DisposableEffect(Unit) { composeView.filterTouchesWhenObscured = true onDispose { composeView.filterTouchesWhenObscured = false } }

BasicText { text = “Your password”,

            modifier = Modifier.semantics {

                sensitiveData = true }}

Görünüm tabanlı uygulamalar için

XML düzeninizde, hassas görünüme ilgili özelliği ekleyin.

Alternatif olarak, özelliği Java veya Kotlin'de programatik olarak ayarlayabilirsiniz:

Dokunma hırsızlığı kılavuzunda accessibilityDataSensitive ve setFilterTouchesWhenObscured işaretleri hakkında daha fazla bilgi edinebilirsiniz.

Kullanıcıların güvenliğini sağlamak için geliştiricilerle işbirliği yapma

Bu özelliğin gerçek dünyadaki ihtiyaçları karşılaması ve iş akışınıza sorunsuz bir şekilde entegre olması için geliştiricilerle erken aşamalarda birlikte çalıştık.

"Müşterilerimizin hassas finansal verilerini korumaya her zaman öncelik verdik. Bu nedenle, erişilebilirlik tabanlı kötü amaçlı yazılımlara karşı kendi koruma katmanımızı oluşturmamız gerekti. Revolut strongly supports the introduction of this new, official Android API, as it allows us to gradually move away from our custom code in favor of a robust, single-line platform defense." 
- Vladimir Kozhevnikov, Revolut'ta Android Mühendisi

Bu özellikleri kullanarak kullanıcılarınızı erişilebilirlik tabanlı kötü amaçlı saldırılardan korumada önemli bir rol oynayabilirsiniz. Tüm geliştiricileri, kullanıcıların güvenliğini sağlamaya yardımcı olmak için bu özellikleri uygulamalarına entegre etmeye teşvik ediyoruz. 

Birlikte çalışarak herkes için daha güvenli ve güvenilir bir deneyim oluşturabiliriz.