Perkhidmatan aksesibiliti: apa yang mereka dan kenapa google merosakkan penyalahgunaan mereka

Terdapat banyak bahagian yang bergerak ke semua aplikasi kegemaran kami. Anda mungkin tidak berfikir tentang ini apabila menatal melalui garis masa anda di Twitter atau menonton video di YouTube, tetapi jumlah barangan yang berlaku di belakang tabir untuk menjadikan semua aplikasi ini berfungsi seperti yang mereka sepatutnya benar-benar luar biasa.

Aplikasi tertentu seperti LastPass, Tasker, dan Tindakan Clipboard mengetik ke dalam Perkhidmatan Kebolehaksesan Android untuk membolehkan ciri-ciri yang lebih mendalam yang tidak mungkin wujud, tetapi Google baru-baru ini mengumumkan bahawa aplikasi yang menggunakannya tanpa mendapat faedah secara langsung kepada mereka yang kurang upaya boleh dialih keluar dari Play Store.

Perkhidmatan Kebolehcapaian adalah alat yang menarik, dan untuk mendapatkan idea yang lebih baik tentang apa sebenarnya yang berlaku di sini, kita perlu melihat lebih dekat.

Apakah Perkhidmatan Kebolehcapaian?

Perkhidmatan Kebolehcapaian ditemui di dalam Android dan membolehkan telefon dan tablet menjadi lebih mudah digunakan oleh mereka yang kurang upaya. Apabila anda pergi ke halaman tetapan Kebolehcapaian pada peranti Android anda, anda akan melihat pelbagai kawalan yang telah diaktifkan oleh Google secara lalai. Sesetengah item di sini termasuk seperti menyentuh item pada skrin anda untuk membolehkan peranti anda membacanya kepada anda, maklum balas yang dibicarakan yang berbunyi dengan lantang semua tindakan anda, meningkatkan saiz item pada paparan, dan lain-lain.

Seperti yang dijangkakan, tema umum di sini adalah untuk menjadikan Android lebih mudah dan mudah digunakan untuk orang yang memerlukan bantuan tambahan.

Sebagai tambahan kepada perkhidmatan yang dibina ke Android secara lalai, pemaju boleh memanfaatkan Perkhidmatan Kebolehaksesan dengan aplikasi mereka sendiri untuk membuat ciri-ciri baru yang mengambil kesempatan daripada mereka. Di laman Android Pemaju, Perkhidmatan Kebolehcapaian dijelaskan seperti berikut:

Perkhidmatan aksesibiliti hanya boleh digunakan untuk membantu pengguna kurang upaya menggunakan peranti Android dan aplikasi. Mereka berjalan di latar belakang dan menerima panggilan balik oleh sistem apabila AccessibilityEvents dipecat. Peristiwa sedemikian menunjukkan beberapa peralihan negeri dalam antara muka pengguna, sebagai contoh, tumpuan telah berubah, butang telah diklik, dan sebagainya. Perkhidmatan semacam itu boleh meminta keupayaan untuk menanyakan kandungan tetingkap aktif. Pembangunan perkhidmatan kebolehaksesan memerlukan kelas ini dan melaksanakan kaedah abstraknya.

Kenapa sesetengah aplikasi menggunakannya

Walaupun matlamat utama Perkhidmatan Kebolehaksesan adalah untuk membolehkan pemaju membuat alat yang disasarkan kepada individu yang kurang upaya, kami telah melihat beberapa aplikasi selama bertahun-tahun yang telah mengetuk sumber ini untuk membuat ciri yang diperluas yang secara teknikal dapat memberi manfaat kepada semua orang.

Perkhidmatan Kebolehcapaian yang dipasangkan Android semua disasarkan kepada orang kurang upaya, dan atas sebab tertentu.

Perkhidmatan Kebolehcapaian boleh digunakan dengan sah, tetapi itu, malangnya, tidak selalu berlaku.

Sebagai contoh, Isi App LastPass mendedahkan tindanan di atas apa sahaja skrin atau aplikasi lain yang anda gunakan supaya anda dapat dengan mudah menambah maklumat nama pengguna dan kata laluan tanpa perlu membuka aplikasi LastPass penuh. Tindakan Clipboard juga mengetuk ke dalam Perkhidmatan Kebolehcapaian supaya anda dapat menguruskan pautan yang anda salin dan mengambil tindakan dengan lebih mudah tanpa harus berada di apl Tindakan Clipboard penuh.

Ini adalah kaedah yang telah digunakan oleh pemaju untuk beberapa waktu sekarang, dan sementara ia berfungsi secara teknikal, ia mencipta untuk kelemahan yang tidak disukai Google.

Penalaran Google untuk batasan baru

Sebaik sahaja Perkhidmatan Kebolehcapaian boleh digunakan apabila digunakan secara sah, ia juga mungkin untuk perkhidmatan itu digunakan secara berniat jahat. Apl yang menggunakan Perkhidmatan Kebolehaksesan membuka ancaman keselamatan yang lebih besar daripada yang tidak, dan ini meninggalkan peranti berisiko untuk serangan.

Tidak lama selepas Google mengumumkan keputusan untuk mengehadkan aplikasi yang boleh menggunakan Perkhidmatan Kebolehaksesan, didapati perubahan itu mungkin disambungkan ke serangan "toast overlay" yang telah ditemui oleh firma keselamatan TrendMicro. Pada dasarnya, serangan overlay roti bakar membolehkan aplikasi berniat jahat untuk memaparkan imej dan butang ke atas apa yang sepatutnya ditunjukkan untuk mencuri maklumat peribadi atau mengunci pengguna sepenuhnya dari peranti mereka.

Apl yang menggunakan serangan overlay toast ini telah dikeluarkan dari Gedung Play dan patch dengan Buletin Keselamatan September menyelesaikan kerentanan, tetapi ini hanyalah satu contoh bagaimana aplikasen masuk ke Perkhidmatan Kebolehaksesan boleh menyebabkan kerosakan yang serius.

Masa depan adalah API

Apl yang menggunakan Perkhidmatan Kebolehaksesan untuk membantu orang kurang upaya dengan cara yang sah akan terus wujud, tetapi bagi mereka yang tidak disasarkan pada demografi tertentu ini, Google mempunyai penyelesaian - API. Dalam contoh LastPass, API Autofill baru dengan Android Oreo membolehkan LastPass menawarkan fungsi yang serupa dengan ciri Auto Isi tanpa perlu menggunakan Perkhidmatan Kebolehcapaian.

API membolehkan pengalaman yang serupa (dan sering lebih baik) daripada apa yang boleh menghasilkan helah hacky.

Ini bermakna bahawa pengguna perlu menjalankan versi Android yang lebih baru untuk mengakses semua ciri beberapa tajuk kegemaran mereka, tetapi pada akhir hari, fungsi anda masih kekal sementara juga mengurangkan risiko keselamatan yang mungkin.

Kami memahami kegelisahan bahawa sesetengah pengguna mempunyai perubahan ini, tetapi ketika melihatnya dari perspektif Google, itu adalah langkah yang masuk akal. Perkhidmatan Kebolehcapaian tidak pernah dimaksudkan untuk digunakan untuk sebahagian besar cara-cara yang dev dev tertentu menoreh ke dalamnya, dan itu sesuatu yang perlu Google retak.

Pada penghujung hari, sekali aplikasi dikemas kini untuk menyokong banyak API Google, kami akan mendapat ciri yang serupa dengan perlindungan yang lebih besar daripada serangan. Apa lagi yang boleh anda minta?