응용 프로그램 권한

Application permissions

권한은 소프트웨어에 의해 특정 시스템 및 장치 수준의 기능에 대한 액세스를 제어 및 규제하는 수단입니다.일반적으로 권한 유형은 장치의 하드웨어 기능(카메라 및 마이크 포함) 및 개인 데이터(장치 저장소, 연락처 목록 및 사용자의 현재 지리적 위치 등)에 액세스할 수 있는 기능과 같은 개인 정보를 포함할 수 있습니다.권한은 일반적으로 응용 프로그램의 매니페스트에 선언되며, 특정 권한은 런타임에 사용자가 특별히 부여해야 합니다. 사용자는 언제든지 권한을 취소할 수 있습니다.

권한 시스템은 특정 앱에 필요한 권한을 플랫폼의 앱 스토어를 통해 공개해야 하는 모바일 운영 체제에서 일반적입니다.

모바일 디바이스

스마트폰 및 태블릿용 모바일 운영 체제에서는 일반적인 유형의 권한이 다음을 [1][2]규제합니다.

  • 연락처, 일정 약속 등 스토리지 및 개인 정보에 대한 액세스
  • 위치 추적
  • 장치의 내장 카메라 및/또는 마이크에 액세스합니다.
  • 지문 리더 및 기타 상태 센서를 포함한 바이오메트릭 센서에 대한 액세스.
  • 인터넷 액세스
  • Bluetooth, Wi-Fi, 근거리 통신(NFC) 등의 통신 인터페이스(해당하는 경우 하드웨어 식별자와 신호 강도 및 이를 활성화하기 위한 요청 포함)에 대한 액세스
  • 전화 걸기 및 수신하다.
  • 문자 메시지 보내기 및 읽기
  • 앱 내 구매를 수행할 수 있는 기능.
  • 다른 앱에서 자신을 "오버레이"할 수 있는 기능.
  • 응용 프로그램 설치, 삭제 및 기타 관리
  • 앱 간 공유를 위해 시스템 스토리지에 저장된 웹 서비스의 인증 토큰(OAuth 토큰)입니다.

Android 6.0 "Marshmallow" 이전 버전에서는 실행 시 앱에 대한 권한이 자동으로 부여되어 Google Play Store에 설치 시 제공됩니다.마시멜로 이후, 특정 권한은 앱이 런타임에 사용자의 권한을 요청해야 합니다.이러한 권한은 Android의 [3]설정 메뉴를 통해 언제든지 취소할 수 있습니다.Android에서의 권한 사용은 때때로 앱 개발자에 의해 개인정보 수집 및 광고 전달에 악용된다. 특히, 전화기의 카메라 플래시를 손전등으로 사용하는 앱(안드로이드의 최신 버전에서 그러한 기능이 시스템 레벨에서 통합됨에 따라 상당히 장황해졌다)이 요구된다고 알려져 있다.기재된 기능에 [4]실제로 필요한 권한 이외의 불필요한 권한을 대량으로 확보합니다.

iOS는 실행 시 권한을 부여하기 위해 비슷한 요건을 부과하고 있으며 블루투스, Wi-Fi 및 위치 [5][6]추적을 활성화하기 위해 특별한 제어가 제공됩니다.

웹 권한

WebPermissions는 웹 [7]브라우저용 권한 시스템입니다.웹 응용 프로그램에서 권한 뒤에 데이터가 필요한 경우 먼저 요청해야 합니다.이 경우 사용자는 선택을 요구하는 창을 볼 수 있습니다.선택은 기억되지만 나중에 클리어할 수 있습니다.

현재 제어되는 리소스는 다음과 같습니다.

  • 지리[8] 위치
  • 데스크톱[9] 알림
  • 서비스[10][11] 종업원
  • 센서
    • 사운드 카드 등의 오디오 캡처 디바이스와 [12]그 모델명과 특성
    • 카메라와 같은 비디오 캡처 장치 [12]및 그 식별자와 특성

분석.

권한 기반 액세스 제어 모델은 특정 데이터 개체에 대한 액세스 권한을 앱에 할당합니다.이것은 임의 접근 제어 모델의 파생 모델입니다.액세스 권한은 보통 특정 디바이스 상의 특정 사용자의 컨텍스트에서 부여됩니다.권한은 자동 제한 없이 영구적으로 부여됩니다.

경우에 따라서는 모든 권한을 앱에 부여해야 하거나 앱을 사용할 수 없는 '모두 또는 없음' 접근 방식으로 구현되기도 합니다.권한 액세스 제어 메커니즘에 의해 보호되는 데이터에 액세스하기 위해 프로그램 또는 앱이 권한을 사용하는 경우 사용자에게 비타협적인 상태로 유지됩니다.사용자가 권한을 취소할 수 있더라도 앱은 크래시(crash) 등의 조작을 거부함으로써 사용자를 협박할 수 있습니다.

허가 메커니즘은 다음과 같은 몇 가지 이유로 연구자들에 의해 널리 비판되어 왔다.

  • 개인 데이터 추출 및 감시의 투명성(허위 [13][14]보안 의식 생성 포함)
  • 마이크로 관리 접근 권한에 대한 최종 사용자의 피로감 때문에 감시와 비투명성을 [15]운명론적으로 수용하게 된다.
  • 허가가 [16][17]나면 대규모 데이터 추출 및 개인 감시가 수행됩니다.

XPrivacy와 같은 솔루션도 있습니다.예외를 던지거나 잘못된 정보를 반환하는 앱을 크래시하는 대신 요청된 데이터에 대한 액세스를 제공하여 앱이 권한이 부여된 것처럼 작동하도록 하는 것입니다.Mockdroid는[18] 이 접근법의 또 다른 예입니다.정적 분석을 사용하여 요청된 [19]권한을 분석할 수도 있습니다.또 다른 투명성 방법으로는 종적 행동 프로파일링과 앱 데이터 [20][21]액세스의 다중 소스 프라이버시 분석이 있습니다.

레퍼런스

  1. ^ "Manifest.permission - Android Developers". developer.android.com.
  2. ^ "iOS Security Guide" (PDF).
  3. ^ Cimpanu, Catalin. "Permission-greedy apps delayed Android 6 upgrade so they could harvest more user data". ZDNet. Retrieved 2020-01-10.
  4. ^ Cimpanu, Catalin. "Most Android flashlight apps request an absurd number of permissions". ZDNet. Retrieved 2020-01-10.
  5. ^ Cipriani, Jason. "Keep your location secret with iOS 13's new privacy features". CNET. Retrieved 2019-08-08.
  6. ^ Welch, Chris (2019-09-19). "Here's why so many apps are asking to use Bluetooth on iOS 13". The Verge. Retrieved 2019-09-26.
  7. ^ "Permissions". w3c.github.io. Retrieved 2019-05-10.
  8. ^ "Geolocation API Specification 2nd Edition". www.w3.org.
  9. ^ "Notifications API Standard". notifications.spec.whatwg.org.
  10. ^ "Push API". www.w3.org.
  11. ^ "Web Background Synchronization". wicg.github.io.
  12. ^ a b "Media Capture and Streams". w3c.github.io.
  13. ^ Moen, Gro Mette, Ailo Krogh Ravna 및 Fin Mirstad:디자인에 속다 - 테크놀로지 기업이 어두운 패턴을 사용하여 프라이버시에 대한 권리를 행사하지 않도록 하는 방법., 2018년, 노르웨이 소비자 평의회/Forbrukerödet.보고하다.https://www.forbrukerradet.no/undersokelse/no-undersokelsekategori/deceived-by-design
  14. ^ Fritsch, Lothar; Momen, Nurul (2017). "Derived Partial Identities Generated from App Permissions". Gesellschaft für Informatik: 117–130. {{cite journal}}:Cite 저널 요구 사항 journal=(도움말)
  15. ^ Kelley, Patrick Gage; Consolvo, Sunny; Cranor, Lorrie Faith; Jung, Jaeyeon; Sadeh, Norman; Wetherall, David (2012). Blyth, Jim; Dietrich, Sven; Camp, L. Jean (eds.). "A Conundrum of Permissions: Installing Applications on an Android Smartphone". Financial Cryptography and Data Security. Lecture Notes in Computer Science. Springer Berlin Heidelberg. 7398: 68–79. CiteSeerX 10.1.1.232.4261. doi:10.1007/978-3-642-34638-5_6. ISBN 978-3-642-34638-5.
  16. ^ Momen, N.; Hatamian, M.; Fritsch, L. (November 2019). "Did App Privacy Improve After the GDPR?". IEEE Security Privacy. 17 (6): 10–20. doi:10.1109/MSEC.2019.2938445. ISSN 1558-4046. S2CID 203699369.
  17. ^ Momen, Nurul (2020). "Measuring Apps' Privacy-Friendliness : Introducing transparency to apps' data access behavior". {{cite journal}}:Cite 저널 요구 사항 journal=(도움말)
  18. ^ Beresford, Alastair R.; Rice, Andrew; Skehin, Nicholas; Sohan, Ripduman (2011). "MockDroid". Proceedings of the 12th Workshop on Mobile Computing Systems and Applications - HotMobile '11. New York, New York, USA: ACM Press: 49. doi:10.1145/2184489.2184500. ISBN 978-1-4503-0649-2. S2CID 2166732.
  19. ^ Bartel, Alexandre; Klein, Jacques; Le Traon, Yves; Monperrus, Martin (2012). "Automatically securing permission-based software by reducing the attack surface: an application to Android". Proceedings of the 27th IEEE/ACM International Conference on Automated Software Engineering - ASE 2012. p. 274. arXiv:1206.5829. doi:10.1145/2351676.2351722. ISBN 9781450312042. S2CID 2268022.
  20. ^ Momen, Nurul (2018). "Towards Measuring Apps' Privacy-Friendliness". Diva.
  21. ^ Hatamian, Majid; Momen, Nurul; Fritsch, Lothar; Rannenberg, Kai (2019). Naldi, Maurizio; Italiano, Giuseppe F.; Rannenberg, Kai; Medina, Manel; Bourka, Athena (eds.). "A Multilateral Privacy Impact Analysis Method for Android Apps". Privacy Technologies and Policy. Lecture Notes in Computer Science. Springer International Publishing. 11498: 87–106. doi:10.1007/978-3-030-21752-5_7. ISBN 978-3-030-21752-5.