Androidon bármely alkalmazás kérhet kisegítő lehetőségi engedélyt, ezért a TalkBack mellett harmadik féltől származó képernyőolvasók is léteznek. Az engedély viszont széles körű hozzáférést ad az eszközhöz, ezért érdemes tisztán látni, mi jelent valódi kockázatot, és mi csak megalapozatlan félelem.
Az iOS-sel ellentétben az Android lehetővé teszi, hogy külső fejlesztők is készítsenek képernyőolvasót, így a látássérült felhasználók nem csak a beépített TalkBackre vannak utalva. Sokan a külső megoldásokat a TalkBack hiányzó funkciói és lassabb reagálása miatt választják. Az újabb, mesterséges intelligenciával, „vibe coding” módszerrel fejlesztett alkalmazások megjelenésével a biztonsági kérdések egyre fontosabbak. A Kareen Kiwan által az Accessible Androidon közzétett írás nem ad zöld utat egyetlen képernyőolvasónak sem, és senkit nem vádol, a tisztánlátást segíti.
Mit enged a kisegítő lehetőségi engedély?
Az Android fejlesztői dokumentációja szerint a kisegítő szolgáltatás olyan alkalmazás, amely a felhasználói felület kezelését segíti, a háttérben fut, a rendszerrel együttműködve vizsgálja a képernyő tartalmát, és a felhasználó nevében hajt végre műveleteket. A Bitdefender szerint ugyanez az erő teszi a szolgáltatást a bűnözők kedvencévé is.
Az engedéllyel az alkalmazás egyebek mellett:
- olvashatja a képernyő tartalmát, így az e-maileket, üzeneteket és fiókadatokat is;
- értesülhet a fókusz változásáról, a gombnyomásokról, a görgetésről és más felhasználói felületi eseményekről;
- gombokat nyomhat meg, görgethet, kézmozdulatokat hajthat végre;
- szöveget írhat a beviteli mezőkbe;
- az eszköztől, az Android verziójától és a beállításoktól függően hardveres billentyűeseményeket kaphat;
- rendszerszintű műveleteket indíthat, például a Vissza gomb megnyomását, a kezdőképernyőre lépést, az értesítések vagy a gyorsbeállítások megnyitását.
Az engedélyt nem csak képernyőolvasók használják: a Tasker automatizálóalkalmazás működésének alapeleme, egyes indítóalkalmazások pedig opcionálisan kérik. A támadók is előszeretettel élnek vele.
A Google lépett is: 2021 óta a Google Playen az AccessibilityService API-t (programozási felület) használó alkalmazásoknak a jóváhagyás előtt külön nyilatkozatban kell bemutatniuk, mire használják. Az Android 13-tól a nem Google Playről telepített alkalmazásokhoz a kisegítő hozzáférés nem adható meg egyszerűen a Kisegítő lehetőségek menüből: a felhasználónak előbb az alkalmazás adatlapján engedélyeznie kell a korlátozott beállításokat. Egyes külső telepítőkön keresztül ez a lépés a cikk írásakor még megkerülhető. A Speciális védelem bekapcsolása esetén az Android a nem ellenőrzött kisegítő szolgáltatásokat korlátozza.
Mi jelent kockázatot, és mi nem?
A Play Áruházban való jelenlét nem garancia, a hiánya nem bizonyíték. A Google szabályai miatt bizonyos funkciójú alkalmazások nem kerülhetnek az áruházba, más fejlesztők pedig szándékosan nem töltik fel oda a programjukat, vagy nyílt forráskódú megoldást választanak. Az ilyen alkalmazás lehet biztonságos. Fordítva, rosszindulatú alkalmazások is átcsúsznak az ellenőrzésen, és sok telepítést gyűjtenek, mielőtt kiderülne a valódi természetük. A Play Protect egyébként a sideloadolt (kézzel telepített) alkalmazásokat is vizsgálja, és figyelmeztethet, letilthatja vagy eltávolíthatja a veszélyesnek ítélteket.
A szabályok kijátszása nem feltétlenül rosszindulat. Egyes Android-felületek a TalkBacknek külön jogosultságokat adnak, és bizonyos alkalmazások csak neki szolgáltatnak adatot. Néhány képernyőolvasó ezért TalkBacknek adja ki magát a rendszer és az alkalmazások felé. A szerző szerint ez önmagában nem visszaélés, ha a használhatóságot javítja, nem pedig adatszerzésre szolgál. Hasonló a helyzet más kisegítő szolgáltatások ki- és bekapcsolásával: ehhez ADB-parancsok kellenek, és ha egy alkalmazás ezt rejtetten végezné, súlyos kockázat lenne. A Shortcut Menu nevű, GitHubon nyílt forráskódú alkalmazás viszont azért teszi ezt, hogy a felhasználó hozzáférhetően válthasson a képernyőolvasói között, vagy elindíthasson egy másikat, ha az éppen használt leáll. A szerző szerint a Play Áruház valószínűleg nem fogadná el.
A külső szolgáltatások külön kérdést jelentenek. Egyes képernyőolvasók online MI-szolgáltatással írják le a tartalmat vagy végeznek szövegfelismerést (OCR), esetleg fordítást. Ezekre az üzemeltetőik szabályai vonatkoznak, de a képernyőolvasónak is vannak kötelezettségei: közölnie kell, mely szolgáltatásokhoz csatlakozik, titkosítania kell az adatokat, nem köthet olyan megállapodást, amely lehetővé tenné a felhasználói adatok visszaélésszerű kezelését, és átláthatónak kell lennie az adatok kezelésében. A TalkBack a Google Gemini modelljét használja leíráshoz, és a Google szerint az adatokat titkosítja, majd a leírás elkészülte után törli. A szerző szerint a Google ebben megbízhatónak tekinthető. A Jieshuo képernyőolvasó (Jieshuo Screen Reader) a vivo online MI-modelljét használja, de az alkalmazás nem közli a pontos modellt és az adatátvitel módját, és arra sincs garancia, hogy a szolgáltató cseréjéről tájékoztatná a felhasználókat. Az online elemzésnek mindenképp opcionálisnak kell lennie, vagy legalább egyértelműen jeleznie kell, melyik funkció használ külső szolgáltatást.
A bővítmények felelőssége megoszlik. A Jieshuo Lua-szkripteket futtató bővítményrendszere hozzáférhet az Android API-khoz, tölthet fel és le adatot az internetről, és fájlokat hozhat létre, szerkeszthet vagy törölhet. A szerző szerint a képernyőolvasó nem felel a rosszindulatú bővítmények okozta kárért, ahogy az NVDA-nál sem a program a hibás, ha a felhasználó megbízhatatlan kiegészítőt telepít. A Jieshuo fejlesztőjét viszont bírálja: bárki feltölthet bővítményt a Jieshuo szervereire, ahol minden felhasználó megtalálja a Bővítmények, Eszközök vagy Kézmozdulat-sémák menüpont alatt, ellenőrzés nélkül. Ez a kezdő felhasználóban hamis biztonságérzetet kelthet, ezért a szerző szerint ellenőrzés vagy legalább egyértelmű figyelmeztetés kellene.
Az emberi tényező
A támadások gyakran a felhasználó hibáján múlnak. Ha egy Telegram- vagy WhatsApp-csoportban új képernyőolvasó APK-ja jelenik meg, nem érdemes rögtön telepíteni, mert kártevő is lehet. A népszerű képernyőolvasóknak vannak hivatalos letöltési helyei. A Jieshuót például gyakran osztják csoportokban és csatornákon, és a módosított változatokat sokan hivatalosnak hiszik. Letölthető a GitHub-oldaláról, és maga az alkalmazás is képes frissíteni. A Play Áruházban elérhető programoknál is előfordul, hogy a fejlesztők a jóváhagyás lassúsága miatt előbb közvetlen APK-ként adnak ki új verziót, és ezt módosítva, hivatalosként terjesztik.
A feltört (crackelt) változatok külön kockázatot jelentenek, mert az illegalitás mellett kártevő is kerülhet beléjük, ami kisegítő szolgáltatásnál különösen veszélyes. A szerző szerint a Jieshuo a legtöbbet crackelt fizetős képernyőolvasó, részben a nehézkes vásárlási módszer miatt, és a módosított példányok talán elterjedtebbek is a hivatalosaknál. A feltörtek tartalmáért a fejlesztő nem felel, sőt maga is kárt szenved: bevételt veszít, hírnevét pedig rontja, ha a módosított másolatok miatt az eredeti szoftvert is veszélyesnek jelölik.
Bankolás és TTS-motorok
A képernyőolvasó követheti a banki tevékenységet, és akár adatot is megadhat, kattintásokat szimulálhat a felhasználó tudta nélkül, hiszen a hangkimenetet módosíthatja, vagy hang nélkül is végezhet műveleteket. Sok banki alkalmazás ezért gyanúsnak tekinti a külső kisegítő szolgáltatásokat: van, amelyik válogatás nélkül letiltja, van, amelyik csak a Play Áruházból származókat engedi, és olyan is akad, amelyik egy adott képernyőolvasó puszta telepítettségét is kifogásolja. A szerző szerint a felhasználónak tudnia kellene, miért tiltották le, de kétli, hogy a bankok ezt közölnék. Szerinte elegendő volna annak biztosítása, hogy a banki alkalmazás használata közben ne fusson ellenőrizetlen kisegítő szolgáltatás.
A külső képernyőolvasó elkerülése pedig önmagában nem véd. A hangszintézis- (TTS-) motorok is naplózhatnak minden hozzájuk érkező karaktert, köztük a képernyőolvasó szövegét, és külső szolgáltatásokba tölthetik fel elemzésre. Aki TalkBacket használ, de a TTS-motorja indokolatlanul sok adatot forgalmaz, hamis biztonságban él. Hasonló kockázatot jelentenek a gyorsan szaporodó online képleíró és szövegfelismerő alkalmazások is, amelyek külső, jellemzően MI-szolgáltatásnak küldik az adatokat. Általában is érdemes ellenőrizni az alkalmazások kért engedélyeit, valamint a gyanús viselkedést, például a mikrofon vagy a kamera indokolatlan használatát vagy a szokatlanul nagy adatforgalmat.
Két szélsőség és az előítéletek
A vakok közösségében két végletes hozzáállás figyelhető meg. Az egyik szerint minden külső képernyőolvasó kém, főleg ha nincs a Play Áruházban. Az óvatosság rendben van, a bizonyíték nélküli tényként közölt állítás viszont nem: egy szoftver biztonságának értékeléséhez biztonságos, elszigetelt környezetben végzett tesztelés kellhet. A másik véglet szerint minden biztonságos, és „nincs mit rejtegetni”. Az ilyen felhasználók nemcsak magukat, hanem másokat is veszélyeztetnek, mert fertőzött eszközről lehet adatot lopni, megszemélyesítéssel másokat csapdába csalni, és hálózatokat támadni.
A megítélést az előítéletek is befolyásolják. Vannak, akik veszélyesnek tartanak egy bizonyos országból származó fejlesztőt, míg egy általuk megbízhatónak tartott országbelit biztonságosnak. A szerző szerint bűncselekmény bárhol elkövethető, a szigorú törvényekről ismert ország hírneve akár fedezéket is nyújthat, a felhasználók biztonságát tisztelő fejlesztő pedig élhet olyan országban is, ahol a jogszabályok sértik a biztonságot és a magánszférát. Aki egy totalitárius országból menekült, érthetően nem használ az onnan származó fejlesztők alkalmazásait, de ezt saját véleményként kell megfogalmaznia, nem objektív tényként.
Mit tanácsol a szerző?
Kiwan nem válaszol arra, hogy a külső képernyőolvasók biztonságosak-e. Az engedélyezéssel a felhasználó megbízik a programban, és elméleti kockázatot vállal. A szerző elsődleges képernyőolvasója a Jieshuo, mégsem meri kijelenteni róla, hogy teljesen ártatlan és biztonságos. Évekig húzódozott a telepítésétől, az újonnan megjelent képernyőolvasókat sem telepíti azonnal, és kerüli azokat, amelyek nem találhatók meg a Play Áruházban és nem is nyílt forráskódúak. A nyílt forráskódút előnyben részesíti a Play Áruházban lévő zárt forráskódúval szemben, ha azonosíthatók a fejlesztői.
A fejlesztőktől átláthatóságot vár: közöljék, milyen adatokat gyűjtenek, mely külső szolgáltatásokkal kommunikálnak és hogyan. A bővítményrendszernél figyelmeztessék a felhasználókat az ellenőrizetlen bővítmények kockázataira. A korlátozásokat nem tartja megoldásnak, mert szerinte több kárt okoznak, mint amennyit megelőznek. A felelősség a felhasználóké: mérlegeljék a nyereséget és a kockázatot, kerüljék az ismeretlen forrásból származó APK-kat és a crackelt programokat, tartsák bekapcsolva a Play Protect vizsgálatát a sideloadolt alkalmazásoknál, és különböztessék meg a valódi kockázatot az emberi hibától.
A cikk az Accessible Android Third-Party Screen Readers: Are They a Security Risk? című írása alapján, AI felhasználásával készült magyar adaptáció, ezért apróbb pontatlanságokat tartalmazhat.