Sichere Codierungstechnik: Lass uns über Tapjacking sprechen

Tapjacking, eine Kombination aus „Tap“ und „Hijacking“, bedeutet genau das. Es handelt sich um einen Angriff, bei dem der Angreifer die Taps des Benutzers kapert und ihn dazu bringt, etwas zu tun, was er nicht beabsichtigt hat. Wie funktioniert es also und wie verhindern wir es?

Wir beginnen unsere Geschichte mit Bildschirm-Overlays. Bildschirmüberlagerungen oder, wie Google sie nennt, Fenster mit dem Typ TYPE_APPLICATION_OVERLAY. Dies sind Fenster, die über anderen Apps gezeichnet werden und normalerweise nur einen Teil des Bildschirms verdecken. Diese werden häufig verwendet (wie das Beispielbild unten), wenn eine App neue Berechtigungen anfordert.

Dies ist eigentlich eine coole und unterhaltsame Funktion, und immer mehr Apps beginnen, sie zu verwenden. Denken Sie an die Chat-Blasen von Facebook oder die Google Maps-Navigation in einer Ecke Ihres Bildschirms, wie im Screenshot unten.

Diese Overlays bergen jedoch einige Sicherheitsrisiken. Jedes aktive Bildschirm-Overlay kann auf Tips achten. Woher sollte Facebook sonst wissen, dass wir auf die Blase getippt oder gezogen haben? Dadurch können Apps dich ausspionieren und möglicherweise Passwörter und Kreditkartendaten stehlen.

Noch einen Schritt weiter, und hier kommt der Begriff Tapjacking her. Overlays können Dinge auf andere Apps zeichnen und den Benutzer dazu verleiten, verschiedene Aktionen auszuführen. Der Benutzer glaubt, mit dem Overlay zu interagieren, aber in Wirklichkeit führen seine Taps auch Aktionen in der zugrunde liegenden App aus. Auf diese Weise kann dich das Overlay dazu verleiten, bestimmte Berechtigungen zu aktivieren oder einige gefährliche Einstellungen zu ändern, wie hier gezeigt altes YouTube-Video.

Das obige Demonstrationsvideo wurde 2010 auf YouTube hochgeladen, also auf einer älteren Version von Android. Aber der Angriff ist auch heute noch relevant, wie Schwachstellen kam ans Licht, das Tapjacking in neueren Versionen von Android wie Nougat und Marshmallow ermöglicht.

Also, was kannst du dagegen tun? Als Benutzer ist es wichtig, die Konsequenzen dieser Overlays zu erkennen und sich der Apps bewusst zu sein, die sie verwenden. Ab API-Level 23 (Android 6.0 Marshmallow) ist dies zu einer Erlaubnis geworden muss vom Nutzer ausdrücklich erteilt werden. Das lässt jedoch 50% von AndroidBenutzer sind immer noch anfällig. In den Einstellungen unter „Vor anderen Apps anzeigen“ kannst du immer noch überprüfen, welche Apps von dieser Berechtigung Gebrauch machen.

Als Entwickler liegt es an uns, sicherzustellen, dass Benutzeraktionen mit dem vollen Wissen und der Zustimmung des Benutzers durchgeführt werden. Android bietet eine Einstellung für Ihre Ansichten, die genau das tun, nämlich Filtert Berührungen, wenn sie verdeckt sind. Wenn es aktiviert ist, verwirft das Framework Berührungen, die empfangen werden, wenn das Ansichtsfenster durch ein anderes sichtbares Fenster verdeckt wird. So einfach ist das, set Berührungen filtern, wenn sie verdeckt sind auf true, und Ihre App ist vor Tapjacking sicher.

Viel Glück und wir sehen uns nächste Woche!

Manchmal ist es wichtig, dass eine Anwendung überprüfen kann, ob eine Aktion mit dem vollen Wissen und der Zustimmung des Benutzers ausgeführt wird, z. B. wenn eine Genehmigungsanfrage erteilt, ein Kauf getätigt oder auf eine Anzeige geklickt wird. Leider kann eine böswillige Anwendung versuchen, den Benutzer dazu zu verleiten, diese Aktionen auszuführen, ohne es zu merken, indem sie den beabsichtigten Zweck der Ansicht verheimlicht.

https://developer.android.com/reference/android/view/View.html