Có công cụ nào để sandbox một ứng dụng phần mềm độc hại thậm chí nhiều hơn các quyền được cấp trên Android không?

Giả sử tôi muốn chạy một số chương trình yêu cầu quá nhiều quyền. Ví dụ: ghi âm từ micrô hoặc đọc IMEI của điện thoại của tôi. Tuy nhiên, không có lời giải thích thực tế tại sao ghi từ mic hoặc số IMEI là cần thiết cho ứng dụng cụ thể này, ngoại trừ việc khai thác dữ liệu.

Tôi muốn dùng thử ứng dụng này, nhưng hạn chế quyền của nó. Ví dụ: nếu nó đọc IMEI, nó sẽ nhận được IMEI ngẫu nhiên (nhưng giống nhau mỗi lần). Nếu nó cố đọc mic, nó sẽ im lặng.

Một số quyền thú vị khác:

1. Danh bạ truy cập đọc / ghi - trả về số liên lạc bằng không, giả vờ rằng viết là OK, nhưng thực tế không làm gì cả.
2. Gửi SMS - giả vờ rằng SMS được gửi, nhưng không làm gì cả.
3. Nhận danh sách các mạng Wi-Fi hiển thị - trả về các mạng không.

Rõ ràng là công cụ nên yêu cầu một điện thoại bắt nguồn từ. Có công cụ nào như vậy không?

XPrivacyLua là một mô-đun cho khung Xposed, thực hiện chính xác những gì bạn cần. Nó là nguồn mở và miễn phí. Hoạt động trên các thiết bị đã root. Đó là sự kế thừa của XPrivacy.

Cài đặt Xposed từ đây: https://forum.xda-developers.com/showthread.php?t=3034811

Sau đó, bạn có thể tải xuống mô-đun XPrivacyLua từ repo Xposed thông qua ứng dụng Xposed Manager hoặc thủ công từ đây:

https://repo.xposed.info/module/eu.faircode.xlua

Nguồn:

https://github.com/M66B/XPrivacyLua

Nếu bạn đang chạy Android 5 trở xuống, bạn có thể sử dụng mô-đun XPrivacy cũ.

Whisper Systems đã đưa ra một ROM tùy chỉnh có tính năng chính xác này: http://www.whispersys.com/permissions.html . Như DarthNoodles đề cập, nó phải được thực hiện ở cấp hệ thống chứ không phải cấp ứng dụng, đó là cách nó được triển khai trong WhisperCore. Phiên bản hiện tại không thể chặn tất cả các quyền có sẵn trên Android, nhưng họ đang nỗ lực hỗ trợ thêm cho họ.

CyanogenMod 7.1 có chính xác tính năng này , nhưng không giả mạo dữ liệu, chỉ thất bại, nếu ứng dụng truy cập API. Đề xuất giả mạo IMEI đã bị từ chối. Việc giả mạo dữ liệu khác, như danh bạ, hiện đang được thảo luận.

Không phải là một giải pháp tuyệt đối cho vấn đề của bạn, nhưng có một ứng dụng trong thị trường Android đáp ứng nhu cầu của bạn. Nó cũng nhất thiết đòi hỏi kiến ​​thức tốt hơn về quyền và cũng là một thiết bị đã root.

Quyền bị từ chối là một ứng dụng cho phép bạn kiểm soát hiệu quả các quyền mà ứng dụng được cài đặt trên điện thoại của bạn, thông qua thị trường hoặc một số nguồn khác. Ngoài ra, hãy lưu ý rằng việc từ chối một ứng dụng mà nó đang yêu cầu có thể dẫn đến việc đóng ứng dụng. (do đó đòi hỏi bạn phải có kiến ​​thức tốt hơn về cách sử dụng nó)

Lưu ý: Ứng dụng này yêu cầu quyền truy cập Root. Ứng dụng này sẽ không hoạt động trên tất cả các thiết bị.

Đây không phải là Ứng dụng Sandbox, nhưng có lẽ nó cũng thú vị đối với bạn, nếu bạn chưa nghe về nó.

Một số nhà khoa học bắt đầu dự án Taintdroid . Bảo mật thời gian thực cho Android

MockDroid là một phần mềm học thuật khác với khả năng giả mạo dữ liệu.

Có một công cụ tuyệt vời PDroid . Đó là cả Ứng dụng và bộ bản vá ROM, cho phép chặn và giả mạo các yêu cầu cấp phép. Dưới đây là bản vá lỗi PDroid Jellybean ROM Fork

Đó là một giải pháp hợp lý cho một vấn đề tiềm ẩn và sự khó chịu trong thời gian dài của tôi.

Tuy nhiên, bạn phải nhớ rằng mọi giải pháp khả dụng cho ứng dụng bảo mật cũng sẽ có sẵn cho ứng dụng phần mềm độc hại. Nếu một ứng dụng bảo mật có thể chặn truy cập mạng thì ứng dụng phần mềm độc hại cũng có thể chặn ứng dụng đó, ngăn ứng dụng bảo mật cập nhật các tệp dữ liệu chẳng hạn.

Nó cần phải được thực hiện ở cấp hệ thống, không phải là một ứng dụng khác.

Xem bài viết của tôi ở đây cho những suy nghĩ của tôi.

LBE Privacy Guard dường như là một giải pháp rất hứa hẹn với các tính năng tương tác để chặn hoặc cho phép hoạt động của ứng dụng một cách nhanh chóng.

Phiên bản dịch của phiên bản tiếng Trung của LBE có sẵn trên các nhà phát triển XDA và nó hoạt động rất tốt trên Jelly Bean. Rõ ràng phiên bản tiếng Trung vẫn đang được tích cực phát triển.

http://forum.xda-developers.com/showthread.php?t=1422479

Có một nghiên cứu liên tục về chủ đề này. Một bằng chứng về khái niệm chưa được phát hành được triển khai cho một số API nhạy cảm về quyền riêng tư như tôi đã đề xuất. Trình quản lý quyền riêng tư được gọi là TISSA , viết tắt của Taming Information - Trộm ứng dụng điện thoại thông minh.

Có các ứng dụng Trình chặn quyền riêng tư (trả phí) và Quyền riêng tư (miễn phí). Privacy Blocker thực hiện phân tích tĩnh các ứng dụng cho các cuộc gọi API nhạy cảm và viết lại các cuộc gọi này thành các cuộc gọi còn sơ khai trả về dữ liệu giả mạo. Kết quả là một .apk mới với ứng dụng viết lại được tạo và cài đặt. Privacy Inspector là một ứng dụng chỉ báo cáo việc sử dụng các lệnh gọi API nhạy cảm.

Marshmallow (Android 6) có mô hình cấp phép mới . Các ứng dụng nhắm mục tiêu Marshmallow hiện có thể bị hạn chế ở ít quyền hơn trong thời gian chạy và các ứng dụng này sẽ thất bại một cách duyên dáng, thay vì mô hình quyền tất cả hoặc không có gì của các phiên bản Android trước đó. Trong Marshmallow, đây là một tính năng của HĐH tiêu chuẩn và không yêu cầu root hoặc các ứng dụng bổ sung.

Tôi khá chắc chắn rằng công cụ mà bạn tìm kiếm chưa tồn tại. Nhưng ý tưởng của bạn là tuyệt vời. Ít điểm mặc dù;

ofc; ứng dụng có thể tự do đọc và viết thư mục ứng dụng của riêng nó

đưa ra các điểm đọc giả: đối với mọi lần đọc có thể (và có rất nhiều ứng dụng có thể cố gắng đọc) nên tạo phản hồi mặc định; rất nhiều việc nhưng có thể làm được

Tuy nhiên; cho phép truy cập viết giả khó hơn nhiều; Điều gì xảy ra nếu nó sử dụng thẻ sd để lưu trữ các tệp tạm thời lớn; như bitmap. Trên điện thoại không có người điều khiển; chỉ ứng dụng có thể viết là thẻ sd; và sử dụng nhà cung cấp nội dung (đối với những thứ như danh bạ và lịch). Và ứng dụng desiger không mong đợi thất bại trong việc viết dữ liệu; vì vậy ứng dụng có thể sụp đổ.

Điều tốt là điều tồi tệ nhất có thể xảy ra là ứng dụng có thể bị sập.