Was kann eine App mit der Berechtigung "BENUTZEN VON KONTEN AUF DEM GERÄT" tun?

Kann eine solche App meine E-Mails / Kalender / Nachrichten / Dokumente / etc. Frei lesen?

Die Berechtigung "BENUTZEN VON KONTEN AUF DEM GERÄT" wird von Entwicklern auch als android.permission.USE_CREDENTIALS bezeichnet .

Beispiel für solche Apps: WhatsApp , MightyText .

Android verfügt über ein zentrales System zum Verwalten von Anmeldeinformationen für Onlinedienste (z. B. Ihr Google-Konto). Eine Komponente heißt AccountManager. Einige Apps können " als Kontoauthentifizierer fungieren ". Dies bedeutet, dass sie verstehen, wie sie sich bei einem bestimmten Onlinedienst anmelden und sich bei diesem Dienst für den anmelden können AccountManager. Andere Apps möchten diese Anmeldeinformationen verwenden, um Sie zu identifizieren oder Aktionen in Ihrem Namen auszuführen, ohne dass Sie jedes Mal Ihr Kennwort eingeben müssen.

Beispiel: Anmelden bei Google

In Ihrem Telefon ist eine App integriert, die als Kontoauthentifizierer für Ihr Google-Konto fungiert. Es kann sich bei Google anmelden und verfügt über die E-Mail-Adresse und das Passwort, die Sie beim Einrichten des Telefons eingegeben haben. Es gibt auch eine YouTube-App, die sich anmelden möchte, um Ihre Lieblingsvideos anzuzeigen und Sie kommentieren zu lassen, ohne dass Sie Ihre E-Mail-Adresse und Ihr Passwort erneut eingeben müssen.

Diese YouTube-App spricht mit AccountManagerund fragt, ob sie Anmeldeinformationen für ein Google-Konto besitzt. Für diese Frage ist die Berechtigung "Konten auf dem Gerät suchen" erforderlich. DasAccountManager hat eine Liste von authenticators auf dem Telefon installiert, die es um diese Frage zu beantworten berät. Wenn es Anmeldeinformationen gibt, fragt die App nach einem so genannten Authtoken für das Google-Konto. Für diese Anforderung ist die Berechtigung " Konten auf dem Gerät verwenden " erforderlich .

Das AccountManagerfragt Sie dann , wenn Sie die anfragende Anwendung (YouTube) wollen das angeforderte Konto (Google - Konto) in der Lage sein zu verwenden. Dies kann in einem Dialogfeld erfolgen, das über der App angezeigt wird, oder in einer Benachrichtigung. Alternativ kann die App wählen, nichts zu tun, wenn Sie diese Frage nicht bereits mit Ja beantwortet haben. Möglicherweise möchten Sie sie später zu einem günstigeren Zeitpunkt stellen. Dieser Schritt stellt sicher, dass eine App mit der Berechtigung "Konten auf dem Gerät verwenden" nicht sofort jedes Konto ohne Rückfrage verwenden kann.

Wenn Sie ja sagen, die AccountManager Anfrage an den Authentifikator (die integrierte Google-App) weitergeleitet. Was als Nächstes passiert, hängt vom Authentifikator und dem jeweiligen Dienst ab, bei dem Sie sich anmelden. Möglicherweise müssen Sie sich anmelden, wenn Sie dies noch nicht getan haben. Für die Anmeldung sind möglicherweise ein Benutzername und ein Kennwort, ein Foto, eine SMS oder etwas ganz anderes erforderlich. Was auch immer der Authentifikator tut, er kann entweder fehlschlagen oder der anfragenden App ein Authtoken zurückgeben.

Weitere Prüfungen

Der Authentifikator und der Onlinedienst können auch steuern, welche Aktionen die anfordernde App ausführen kann. Wenn Sie beispielsweise eine App mit Ihrem Google-Konto verbinden, listet Google die Berechtigungen auf, die die App benötigt (z. B. "Videos hochladen" für YouTube). Daher kann die App nur die aufgeführten Aktionen ausführen. Bei einigen Diensten ist dies jedoch möglicherweise nicht der Fall. Wenn Sie für einen solchen Dienst der App die Verwendung Ihrer Anmeldeinformationen gestattet haben, kann sie eine beliebige Aktion ausführen in Ihrem Namen ausführen.

Sobald die anfordernde App das Authtoken erhalten hat, kann sie es weiterhin verwenden, um Aktionen in Ihrem Namen auszuführen, ohne dass Sie weitere Interaktionen vornehmen müssen. Das heißt, wenn Sie einmal zugestimmt haben, dass Dans Twitter-Client in Ihrem Twitter-Feed posten kann, wird er möglicherweise im Hintergrund ausgeführt und sendet weitere Tweets, ohne dass Sie dies wissen. Sie sollten nur die App Zugriff auf Ihre Anmeldeinformationen gewähren , wenn Sie vertrauen es nicht zu tun.

Zusammenfassung

Eine App mit der Berechtigung " Konten auf dem Gerät verwenden " kann Sie nach der Installation auffordern, in Ihrem Namen auf einen Onlinedienst (z. B. Google, Facebook oder Twitter) zuzugreifen. Sie können festlegen, ob auf den Dienst zugegriffen werden soll oder nicht. Wenn Sie zulassen, dass es auf den Dienst zugreift, werden die Aktionen, die es in Ihrem Namen ausführen kann, möglicherweise vom Dienst eingeschränkt (es hängt vom Dienst ab), und Sie können diese Berechtigung möglicherweise später widerrufen (normalerweise über eine Liste "verbundener Apps") "auf der Website des Dienstes).

Ich habe dieses Beispiel in der Android-API gefunden, was mit dieser Berechtigung gemacht werden kann.

Nach meinem Verständnis als Entwickler bedeutet dies den Zugriff auf fast ALLES , was das Konto bietet, mit Ausnahme der Änderung des Passworts.

Sobald ein Benutzer über das Token eines Kontos verfügt, kann er auf alle Dienste zugreifen, die das Konto anbietet: Posten Sie auf Ihrer Facebook-Pinnwand, lesen Sie Ihre Google Mail - fast ALLES .

Die App greift auf kein Dienstkonto zu. Einige Apps benötigen diese Berechtigung, da sie über ihre App ein neues Konto eröffnen müssen.