Omzeilen Apps toegekende toegang na installatie?

[MRIdev]

Op mijn Z1 compact met root heb ik het Xposed framework en Xprivacy geïnstalleerd om uiteraard de toegang van apps te ontzeggen tot informatie die ze niet nodig hebben.

Gisteren installeerde ik app X die als toegang alleen "in app aankopen" heeft. Echter na de het starten van de app en wat geklikt te hebben sprong er een melding op van Xprivacy dat de app ook toegang wil tot "telefoon" en daarna "identiteit". De Excel app van Microsoft app geeft bij het installeren al direct aan toegang nodig te hebben tot "identiteit", dus lijkt het niet iets wat verzonnen is door Xprivacy lijkt me zo.

Ik meende dit al een keer eerder tegen te zijn gekomen, maar toen ik heb ik er niet verder naar gekeken.

Heeft app X een manier gevonden om de eerder gegeven toestemming bij het installeren later e omzeilen? Of is dit iets wat mogelijk is binnen Android? Dat laatste lijkt me vreemd. Het kan natuurlijk ook iets te maken hebben met Xposed en Xprivacy.

[CH4OS]

Geen idee of "App X" een manier heeft gevonden om (Xprivacy) permissies te omzeilen, mijn glazen bol is stuk. Als je aangeeft welke app "App X" is, kunnen we pas echt beginnen met het beantwoorden van jouw vraag op zich, anders zul je het met weinig zeggende antwoorden als "misschien wel, misschien niet" moeten doen.

Ook zijn er talloze apps die bij het starten van die app om extra permissies vragen, niets mis mee, imo. Met Marshmallow krijg je daar sowieso altijd een melding van te zien.

[ Voor 47% gewijzigd door CH4OS op 31-08-2016 12:20 ]

[MRIdev]

CH40S schreef op woensdag 31 augustus 2016 @ 12:13:
Geen idee of "App X" een manier heeft gevonden om (Xprivacy) permissies te omzeilen, mijn glazen bol is stuk. Als je aangeeft welke app "App X" is, kunnen we pas echt beginnen met het beantwoorden van jouw vraag op zich, anders zul je het met weinig zeggende antwoorden als "misschien wel, misschien niet" moeten doen.

Ook zijn er talloze apps die bij het starten van die app om extra permissies vragen, niets mis mee, imo. Met Marshmallow krijg je daar sowieso altijd een melding van te zien.

Ik dacht niet meteen met een beschuldigende vinger te gaan wijzen. Het gaat om Ballon pop. en nog

Het gaat er dus niet om dat deze app Xprivacy omzeilt, maar dat die na installatie nog meerdere toegangen toe-eigent. Omdat ik Xprivacy geïnstalleerd heb komt dat naar boven doordat die met een melding komt.

[anboni]

Dat is standaard Android 6 gedrag. Apps vrageb hun toegang niet meer bij installatie maar pas bij de eerste keer dat ze het proberen. Lijkt me dus niets bijzonders

[CH4OS]

MRIdev schreef op woensdag 31 augustus 2016 @ 12:26:
Ik dacht niet meteen met een beschuldigende vinger te gaan wijzen. Het gaat om Ballon pop. en nog

Het gaat er dus niet om dat deze app Xprivacy omzeilt, maar dat die na installatie nog meerdere toegangen toe-eigent. Omdat ik Xprivacy geïnstalleerd heb komt dat naar boven doordat die met een melding komt.

Die vinger valt op zich wel mee, er zijn meer apps die bij het opstarten pas echt hun aard laten zien qua permissies. Op Samsung telefoons wil de Galerij app geloof ik ook toegang hebben tot contacten (en vraag ik mij ook af waarom dat nodig is), maar dat zie je pas als je het opstart. Tenminste, met Android 6 en hoger, want dan geven de apps als ze bepaalde permissies niet hebben altijd een melding dat ze die bepaalde permissie willen hebben.

anboni schreef op woensdag 31 augustus 2016 @ 12:29:
Dat is standaard Android 6 gedrag. Apps vrageb hun toegang niet meer bij installatie maar pas bij de eerste keer dat ze het proberen. Lijkt me dus niets bijzonders

Volgens mij hoort de Play store dan ook nog aan te geven welke permissies de apps exact nodig zijn. De effectieve toegang wordt gevraagd bij de eerste keer opstarten. Het punt is dus meer, dat het niet aangegeven is en er bij het opstarten wel er om gevraagd is.

[ Voor 21% gewijzigd door CH4OS op 31-08-2016 12:32 ]

[rens-br]

MRIdev schreef op woensdag 31 augustus 2016 @ 12:26:
[...]
Het gaat er dus niet om dat deze app Xprivacy omzeilt, maar dat die na installatie nog meerdere toegangen toe-eigent. Omdat ik Xprivacy geïnstalleerd heb komt dat naar boven doordat die met een melding komt.

Als je gaat kijken naar de machtigingen staat er inderdaad het volgende:

Versie 9.6 heeft toegang tot:
In-app-aankopen
Overig
volledige netwerktoegang

Maar onderin staat wel:

Met updates voor Ballon Pop Spel voor Kinderen kunnen automatisch extra mogelijkheden in elke groep worden toegevoegd. Meer informatie

Mogelijk dat de app meteen een update heeft uitgevoerd o.i.d.?

[MRIdev]

anboni schreef op woensdag 31 augustus 2016 @ 12:29:
Dat is standaard Android 6 gedrag. Apps vrageb hun toegang niet meer bij installatie maar pas bij de eerste keer dat ze het proberen. Lijkt me dus niets bijzonders

Helaas heeft de Z1 compact geen update gekregen naar MM. Zit nog op 5.1.1., maar dan wel echt de laatste firmware. Dit was één van de hoofreden om te rooten, want die kreeg ik maar niet en daar zitten alle oplossingen in voor Stagefright.

rens-br schreef op woensdag 31 augustus 2016 @ 12:30:


Maar onderin staat wel:


[...]


Mogelijk dat de app meteen een update heeft uitgevoerd o.i.d.?

Normaal als een app update en dan extra toegang nodig heeft dan krijg je melding als je update via de play store. Of de app update buiten de play store om. Is dat überhaupt mogelijk? Als dat echt mogelijk is dan hebben alle beveiligingen geen enkel nut meer, dus dat lijkt me sterk.

CH40S schreef op woensdag 31 augustus 2016 @ 12:29:

Volgens mij hoort de Play store dan ook nog aan te geven welke permissies de apps exact nodig zijn. De effectieve toegang wordt gevraagd bij de eerste keer opstarten. Het punt is dus meer, dat het niet aangegeven is en er bij het opstarten wel er om gevraagd is.

Inderdaad!! Dat is mijn punt.

[rens-br]

MRIdev schreef op woensdag 31 augustus 2016 @ 13:39:
Normaal als een app update en dan extra toegang nodig heeft dan krijg je melding als je update via de play store. Of de app update buiten de play store om. Is dat überhaupt mogelijk? Als dat echt mogelijk is dan hebben alle beveiligingen geen enkel nut meer, dus dat lijkt me sterk.

Daar heb je inderdaad gelijk in. Het is wel mogelijk om te updaten buiten de Play Store om. Maar tijdens het installeren van de update, krijg je ook altijd een venster te zien met de permissies. Installeer maar eens een los APK bestand. Dan krijg je hetzelfde lijstje te zien.

[MRIdev]

rens-br schreef op woensdag 31 augustus 2016 @ 14:11:
[...]


Daar heb je inderdaad gelijk in. Het is wel mogelijk om te updaten buiten de Play Store om. Maar tijdens het installeren van de update, krijg je ook altijd een venster te zien met de permissies. Installeer maar eens een los APK bestand. Dan krijg je hetzelfde lijstje te zien.

Inderdaad, maar dan snap ik nog steeds niet hoe apps geïnstalleerd via de play store dat ook lijken te (kunnen) doen.

[Matszs]

CH40S schreef op woensdag 31 augustus 2016 @ 12:29:
Volgens mij hoort de Play store dan ook nog aan te geven welke permissies de apps exact nodig zijn. De effectieve toegang wordt gevraagd bij de eerste keer opstarten. Het punt is dus meer, dat het niet aangegeven is en er bij het opstarten wel er om gevraagd is.

Nee, apps ontwikkeld voor Android 6 hoeven niet de permissies direct te tonen. In de Google Play Store krijg je dan een tekst als:

Nieuw in Android 6.0
Apps die zijn ontwikkeld voor Android 6.0, vragen om toestemming wanneer je ze gaat gebruiken.

(Bijvoorbeeld: https://play.google.com/store/apps/details?id=nl.eredivisie)

[ Voor 5% gewijzigd door Matszs op 31-08-2016 15:06 ]

[MRIdev]

Matszs schreef op woensdag 31 augustus 2016 @ 15:05:
[...]


Nee, apps ontwikkeld voor Android 6 hoeven niet de permissies direct te tonen. In de Google Play Store krijg je dan een tekst als:


[...]


(Bijvoorbeeld: https://play.google.com/store/apps/details?id=nl.eredivisie)

Dan lijkt het dus een app te zijn ontwikkelt voor 6.0 en dan ook op 5.1.1. toestemming later vraagt.

Bij mij springt Xprivacy nu op, maar hoe zit het dan als je dat niet hebt? Geeft Android dan ook een melding dat ze extra toegang willen?

[MRIdev]

Een dubbelpost om even wat onder de aandacht te brengen. Vandaag balloon pop op de A3 (5.0.2) van mijn wederhelft geïnstalleerd en gespeeld. Deze heeft geen root en dus ook geen Xprivacy oid.

Op het moment dat op mijn Z1c Xprivacy de melding geeft voor toegang tot "telefoon" en "identiteit" geeft de A3 helemaal niks.

Is dat lijstje van permissies in de Play Store echt zo'n wassen neus?

[rens-br]

MRIdev schreef op donderdag 01 september 2016 @ 19:31:
Een dubbelpost om even wat onder de aandacht te brengen. Vandaag balloon pop op de A3 (5.0.2) van mijn wederhelft geïnstalleerd en gespeeld. Deze heeft geen root en dus ook geen Xprivacy oid.

Het is jammer dat je wederhelft nog geen Android 6.0.1 heeft, aangezien daar netjes een permissiemanager ingebouwd zit.

Je probleem is nogal lastig, aangezien weinig mensen het kunnen reproduceren. Ik zal de app eens installeren op mijn Android 6.0.1 telefoon, om te kijken welke persmissies bij mij worden gevraagd.

Edit: Net de app geïnstalleerd en hij vraagt nog helemaal nergens om. Wanneer krijg jij die melding?

offtopic:
Je kick mag overigens wel, maar let er wel op dat het niet toegestaan is als je dat binnen 24 uur doet.

[ Voor 18% gewijzigd door rens-br op 02-09-2016 08:55 ]

[paulb_nl]

Dit staat er bij XPrivacy:

quote: https://github.com/M66B/XPrivacy

To help you identify potential data leaks, XPrivacy monitors all applications' attempts to access sensitive data. XPrivacy displays an orange warning triangle icon when an application has attempted to access data. If an application has requested Android permissions to access data, XPrivacy displays a green key icon

Ik vermoed dat de app data probeert op te vragen zonder de permissies en normaal gesproken dus geen toegang krijgt. XPrivacy zou dan een oranje waarschuwingsicoontje moeten laten zien.

[MRIdev]

rens-br schreef op vrijdag 02 september 2016 @ 08:46:
[...]


Het is jammer dat je wederhelft nog geen Android 6.0.1 heeft, aangezien daar netjes een permissiemanager ingebouwd zit.


Edit: Net de app geïnstalleerd en hij vraagt nog helemaal nergens om. Wanneer krijg jij die melding?

offtopic:
Je kick mag overigens wel, maar let er wel op dat het niet toegestaan is als je dat binnen 24 uur doet.

In eerste instantie komen gewone ballonnen naar boven. Daarna komen er ook doorzichtige met iets erin, als je die aantikt komen die meldingen. Op dat moment vraag de app ook of je het volledige spel wilt installeren.

[rens-br]

MRIdev schreef op vrijdag 02 september 2016 @ 23:53:
[...]
In eerste instantie komen gewone ballonnen naar boven. Daarna komen er ook doorzichtige met iets erin, als je die aantikt komen die meldingen. Op dat moment vraag de app ook of je het volledige spel wilt installeren.

Heb dit net geprobeerd. Op het moment dat ik op die ballonnen druk komt er een balk naar beneden met de melding:

Volledig spel ontgrendelen

Daarna krijg ik verder geen melding van permissies.

[MRIdev]

Vakantie met brakke wifi.....

Zal daarna bijvoorbeeld andere permissiemanager proberen en ff verder kijken.