АссистентНовый вопросИсторияОбласти знаний
Партнёрские проектыСпецпроектыСтать автором
Сменить язык
О РУВИКИ

Разрешения приложения

Разрешения приложения — это программные механизмы, используемые для контроля и регулирования доступа к системным функциям и возможностям компьютера или устройства. Как правило, виды разрешений охватывают функции, связанные с конфиденциальностью, например, возможности доступа к аппаратным компонентам устройства (в том числе к камере или микрофону телефона), а также к личным данным пользователя (таким как устройства хранения, контакты и текущее местоположение пользователя). Разрешения обычно декларируются в манифесте программы, при этом определённые права могут быть предоставлены только непосредственно пользователем в режиме выполнения, а также могут быть отозваны им в любое время.

Системы управления разрешениями наиболее распространены в мобильных операционных системах, где перечень требуемых для работы мобильных приложений разрешений объявляется через магазин приложений соответствующей платформы.

Разрешения для мобильных устройств

Ниже перечислены типовые разрешения, встречающиеся в мобильных операционных системах для смартфонов или планшетов:[1][2]

  • Доступ к хранилищу и персональной информации, например к контактам, записям календаря и т. п.
  • Геолокация.
  • Доступ к внутренней камере или микрофону устройства.
  • Доступ к биометрическим датчикам, включая сканер отпечатков пальцев и системы распознавания лиц.
  • Доступ в Интернет.
  • Доступ к коммуникационным интерфейсам (включая их аппаратные идентификаторы и уровень сигнала, при необходимости, а также возможность их активации), например Bluetooth, Wi-Fi, NFC и др.
  • Совершение и получение телефонных звонков.
  • Отправка и чтение текстовых сообщений.
  • Возможность осуществлять встроенные покупки.
  • Возможность интеграции с другими приложениями.
  • Возможность устанавливать, удалять и управлять приложениями.
  • Токены аутентификации (например, токены OAuth) от веб-сервисов, хранящиеся в системе и используемые для совместного доступа приложений.
  • Доступ к медиафайлам (начиная с Android 13 вместо общего разрешения используются гранулярные права для изображений, видео и аудио, а в Android 14 добавлен частичный доступ к визуальным файлам)[3][4].
  • Отправка уведомлений (в iOS и начиная с Android 13 запрашивается у пользователя во время выполнения)[5].

В версиях до Android 6.0 «Marshmallow» разрешения предоставлялись приложениям автоматически во время выполнения, а их перечень отображался при установке из Google Play Store. Начиная с Marshmallow, отдельные разрешения приложение запрашивает у пользователя в режиме выполнения. Эти разрешения могут быть также отозваны в любой момент через меню настроек Android[6].

Современные мобильные операционные системы предлагают расширенные механизмы контроля. Пользователям доступны одноразовые разрешения, предоставляющие временный доступ к таким функциям, как камера или местоположение, а также автоматический сброс разрешений, отзывающий права у приложений, которые не использовались несколько месяцев[7]. Для мониторинга активности в Android предусмотрен инструмент Privacy Dashboard, отображающий историю доступа к сенсорам за последние 24 часа, а в iOS — App Privacy Report с 7-дневным журналом[8]. Кроме того, платформы продолжают ужесточать политики доступа к чувствительной информации: например, правила Google Play ограничивают использование разрешений на чтение журнала звонков для верификации пользователей, требуя перехода на специализированные API (включая инструменты для безопасной работы с SMS)[9].

iOS предъявляет схожие требования к предоставлению разрешений в режиме выполнения, включая отдельные настройки для активации Bluetooth, Wi-Fi и геолокации[10].

Веб-разрешения

Веб-разрешения представляют собой систему разрешений для веб-браузеров[11]. Когда веб-приложение запрашивает доступ к определённым данным, оно должно сначала получить разрешение пользователя. В момент запроса на экране появляется всплывающее окно, где пользователю предлагается сделать выбор; принятое решение сохраняется в памяти устройства, но позднее может быть удалено.

В настоящее время через подобные разрешения управляется доступ к следующим ресурсам:

  • Геолокация
  • Уведомления рабочего стола[12]
  • «Сервис-воркеры»[13]
  • Сенсоры
    • Устройства захвата аудио[14], такие, как звуковые карты, а также их модель и характеристики
    • Устройства захвата видео[14], например, веб-камеры, их идентификаторы и свойства

Для управления доступом к функциям браузера (таким как камера, микрофон и геолокация) для самой веб-страницы и встроенных в неё сторонних ресурсов (iframe) применяется стандарт Permissions Policy API (ранее известный как Feature Policy). Он работает по принципу белого списка: по умолчанию встроенный контент не получает автоматического доступа к этим API, и разработчик должен явно указывать доверенные источники через HTTP-заголовок Permissions-Policy или атрибут allow в теге <iframe>[15][16].

Механизмы Google Privacy Sandbox (такие как Topics API, Protected Audience API и Attribution Reporting API) не требуют классического всплывающего окна разрешения на уровне браузера. Они работают автоматически, а управление доступом осуществляется через настройки пользователя в браузере, где от сбора данных можно отказаться[17][18].

Анализ

Модель управления доступом на основе разрешений предоставляет приложению определённые права доступа к объектам данных. Эта схема восходит к дискреционной модели контроля доступа. Как правило, разрешения предоставляются в контексте конкретного пользователя на определённом устройстве и действуют постоянно при минимуме автоматических ограничений.

В ряде случаев реализация разрешений строится по принципу «всё или ничего»: пользователь должен выдать все запрошенные права, иначе не сможет пользоваться приложением. До сих пор существует дефицит прозрачности при фактическом доступе программы к данным, защищённым разрешениями. Даже если пользователь отзывает разрешение, приложение может попытаться снова запросить его, например, путём зависания или повторным требованием разрешения для продолжения работы.

Система разрешений подвергается широкой критике исследователей по нескольким причинам:

  • Недостаточная прозрачность в отношении сбора личных данных и слежки, в том числе создание ложного ощущения безопасности[19].
  • Усталость пользователя, когда необходимость микроуправлять разрешениями приводит к фаталистическому принятию факта слежки и отсутствия прозрачности[20].
  • Извлечение личных данных и массовая слежка после предоставления прав.

Некоторые приложения, например XPrivacy и Mockdroid[21], подменяют данные в целях приватности. Среди других методов повышения прозрачности — построение поведенческих профилей и анализ приватности из нескольких источников данных приложений[22].

Злоупотребления и безопасность

Иногда разработчики приложений злоупотребляют разрешениями Android для сбора личной информации пользователя и показа рекламы; известно, что многие приложения для использования камеры телефона как фонарика (необходимость в отдельных приложениях существенно снизилась после добавления этой функции на уровне системы в новых версиях Android) требуют чрезмерное количество разрешений, не связанных с их работой[23]. В 2024–2026 годах распространённым вектором атак стало злоупотребление правами доступа к службе специальных возможностей (Accessibility API). Современные примеры злоупотребления включают кражу финансовых данных и кодов аутентификации с помощью поддельных накладок (overlays) поверх легитимных приложений, получение удалённого контроля над устройством, а также несанкционированную автоматизацию действий (кликботы)[24]. В качестве меры защиты в Android 16 Google блокирует использование Accessibility Service для любых автономных действий и фреймворков автоматизации[25].

Права на установку приложений

В операционной системе Android внедрены строгие ограничения на установку приложений от неверифицированных разработчиков, в том числе из альтернативных магазинов. Для прямой установки APK-файлов из неизвестных источников требуется использование специального расширенного сценария. Пользователю необходимо включить режим разработчика, подтвердить отсутствие принуждения со стороны третьих лиц, ввести код разблокировки и перезагрузить устройство. После этого следует обязательный 24-часовой период «карантина», по истечении которого нужно повторно пройти аутентификацию и выдать окончательное разрешение на установку[26][27].

В экосистеме Apple также ужесточены правила установки программного обеспечения. Компания изменила механизм авторизации для работы с App Store, отозвав старые сертификаты и внедрив аппаратную проверку через защищённый модуль Secure Enclave[28][29]. В результате был заблокирован популярный способ восстановления удалённых (в том числе банковских) приложений через сторонние утилиты. В качестве альтернативных методов доступа к таким сервисам на iOS остаются использование веб-версий (PWA) и загрузка замаскированных приложений из App Store[30].

Примечания

  1. ↑ Manifest.permission — Android Developers (англ.). developer.android.com. Дата обращения: 27 августа 2026.
  2. ↑ iOS Security Guide (англ.). apple.com. Дата обращения: 27 августа 2026.
  3. ↑ Behavior changes: Apps targeting Android 13 or higher. Android Developers. Дата обращения: 27 августа 2026.
  4. ↑ Partial access to photos and videos. Android Developers. Дата обращения: 27 августа 2026.
  5. ↑ Notification runtime permission. Android Developers. Дата обращения: 27 августа 2026.
  6. ↑ Cimpanu, Catalin Permission-greedy apps delayed Android 6 upgrade so they could harvest more user data (англ.). ZDNet (3 марта 2016). Дата обращения: 27 августа 2026.
  7. ↑ Behavior changes: Privacy. Android Developers. Дата обращения: 27 августа 2026.
  8. ↑ Travel Privacy Checklist 2026: iOS & Android Settings Toggle You Fly. Simology (1 января 2026). Дата обращения: 27 августа 2026.
  9. ↑ Policy updates announced July 15, 2026. Google Play Console Help. Google (15 июля 2026). Дата обращения: 27 августа 2026.
  10. ↑ Welch, Chris Here's why so many apps are asking to use Bluetooth on iOS 13 (англ.). The Verge (19 сентября 2019). Дата обращения: 27 августа 2026.
  11. ↑ Permissions (англ.). w3c.github.io. Дата обращения: 27 августа 2026.
  12. ↑ Notifications API Standard (англ.). notifications.spec.whatwg.org. Дата обращения: 27 августа 2026.
  13. ↑ Web Background Synchronization (англ.). wicg.github.io. Дата обращения: 27 августа 2026.
  14. ↑ 1 2 Media Capture and Streams (англ.). w3c.github.io. Дата обращения: 27 августа 2026.
  15. ↑ Permissions-Policy - HTTP. MDN Web Docs. Дата обращения: 27 августа 2026.
  16. ↑ Permissions Policy Explainer. GitHub. W3C. Дата обращения: 27 августа 2026.
  17. ↑ Attribution Reporting API. Google Privacy Sandbox. Google. Дата обращения: 27 августа 2026.
  18. ↑ Privacy Sandbox Advertising. Stackmatix. Дата обращения: 27 августа 2026.
  19. ↑ Deceived by Design — How tech companies use dark patterns to discourage us from exercising our rights to privacy : [англ.]. — Consumer council of Norway / Forbrukerrådet, 2018-06-27.
  20. ↑ Kelley, Patrick Gage. Загадка разрешений: установка приложений на Android-смартфон // Financial Cryptography and Data Security : [англ.] / Patrick Gage Kelley, Sunny Consolvo, Lorrie Faith Cranor … [et al.]. — Springer Berlin Heidelberg, 2012. — Vol. 7398. — P. 68–79. — ISBN 978-3-642-34638-5. — doi:10.1007/978-3-642-34638-5_6.
  21. ↑ Beresford, Alastair R. MockDroid // Proceedings of the 12th Workshop on Mobile Computing Systems and Applications : [англ.] / Alastair R. Beresford, Andrew Rice, Nicholas Skehin … [et al.]. — New York, USA : ACM Press, 2011. — P. 49–54. — ISBN 978-1-4503-0649-2. — doi:10.1145/2184489.2184500.
  22. ↑ Hatamian, Majid. Многосторонний анализ влияния на приватность для Android-приложений // Privacy Technologies and Policy : [англ.] / Majid Hatamian, Nurul Momen, Lothar Fritsch … [et al.]. — Springer International Publishing, 2019. — Vol. 11498. — P. 87–106. — ISBN 978-3-030-21752-5. — doi:10.1007/978-3-030-21752-5_7.
  23. ↑ Cimpanu, Catalin Most Android flashlight apps request an absurd number of permissions (англ.). ZDNet (22 октября 2019). Дата обращения: 27 августа 2026.
  24. ↑ Google cracks down on Android apps abusing Accessibility. Malwarebytes (1 марта 2026). Дата обращения: 27 августа 2026.
  25. ↑ How to Get Your App Approved on Google Play and App Store in 2026. Forasoft. Дата обращения: 27 августа 2026.
  26. ↑ Google details new 24-hour process to sideload unverified Android apps (англ.). Ars Technica (20 марта 2026). Дата обращения: 27 августа 2026.
  27. ↑ Google вводит 24-часовой «карантин» для установки приложений на Android. Коммерсантъ (20 марта 2026). Дата обращения: 27 августа 2026.
  28. ↑ Apple закрыла популярный способ установки российских банков на iPhone через iMazing. iPhones.ru (26 августа 2026). Дата обращения: 27 августа 2026.
  29. ↑ Apple закрыла популярный способ установки удаленных банковских приложений на iPhone. iXBT.com (26 августа 2026). Дата обращения: 27 августа 2026.
  30. ↑ Банковские приложения пропали из App Store: как установить и пользоваться? VK (Apple World Store) (26 августа 2026). Дата обращения: 27 августа 2026.

Категории