Toegankelijkheidsservices: wat ze zijn en waarom Google hun misbruik misbruikt

Er zijn veel bewegende delen in al onze favoriete toepassingen. Je denkt hier misschien niet aan bij het scrollen door je tijdlijn op Twitter of het bekijken van video's op YouTube, maar de hoeveelheid dingen die achter de schermen gebeurt om al deze apps te laten werken zoals ze horen te zijn, is eigenlijk vrij ongelooflijk.

Bepaalde apps zoals LastPass, Tasker en Clipboard Actions maken gebruik van de toegankelijkheidsservices van Android om diepere functies toe te staan ​​die anders niet konden bestaan, maar Google heeft onlangs aangekondigd dat apps die ze gebruiken zonder direct voordeel te halen uit mensen met een handicap, kunnen worden verwijderd uit de Play Store.

Toegankelijkheidsservices zijn een interessant hulpmiddel, en om een ​​beter idee te krijgen van wat hier precies gebeurt, moeten we het van dichterbij bekijken.

Wat zijn toegankelijkheidsservices?

Toegankelijkheidsservices zijn te vinden in Android en zorgen ervoor dat telefoons en tablets gemakkelijker kunnen worden gebruikt door mensen met een handicap. Wanneer u naar de pagina Instellingen voor toegankelijkheid op uw Android-apparaat gaat, ziet u een reeks bedieningselementen die Google standaard heeft ingeschakeld. Sommige van de items hier zijn onder meer het tikken op items op uw scherm om uw apparaat ze aan u te laten voorlezen, gesproken feedback die al uw acties hardop voorleest, het vergroten van de grootte van items op het display, enz.

Zoals verwacht, is het algemene thema hier om Android eenvoudiger en eenvoudiger in gebruik te maken voor mensen die wat extra hulp nodig hebben.

Naast de services die standaard in Android zijn ingebouwd, kunnen ontwikkelaars Accessibility Services gebruiken met hun eigen apps om nieuwe functies te maken die hiervan profiteren. Op de site voor Android-ontwikkelaars worden toegankelijkheidsservices als volgt beschreven:

Toegankelijkheidsservices mogen alleen worden gebruikt om gebruikers met een handicap te helpen bij het gebruik van Android-apparaten en -apps. Ze worden op de achtergrond uitgevoerd en ontvangen callbacks door het systeem wanneer AccessibilityEvents worden geactiveerd. Dergelijke gebeurtenissen duiden op enige statusovergang in de gebruikersinterface, bijvoorbeeld, de focus is gewijzigd, er is op een knop geklikt, enz. Een dergelijke service kan optioneel de mogelijkheid vragen om de inhoud van het actieve venster op te vragen. Ontwikkeling van een toegankelijkheidsservice vereist uitbreiding van deze klasse en implementatie van de abstracte methoden.

Waarom sommige apps ze gebruiken

Hoewel het belangrijkste doel van Accessibility Services is om ontwikkelaars in staat te stellen tools te maken die zijn gericht op personen met een handicap, hebben we in de loop der jaren een aantal apps gezien die deze bron hebben aangeboord om uitgebreide functies te creëren die technisch iedereen ten goede kunnen komen.

De vooraf geïnstalleerde toegankelijkheidsservices van Android zijn allemaal voor een reden gericht op mensen met een handicap.

Toegankelijkheidsservices kunnen legitiem worden gebruikt, maar dat gebeurt helaas niet altijd.

De App Fill van LastPass onthult bijvoorbeeld een overlay bovenop welk scherm of andere app u ook gebruikt, zodat u eenvoudig gebruikersnaam- en wachtwoordinformatie kunt toevoegen zonder de volledige LastPass-applicatie te hoeven openen. Klembordacties maken ook gebruik van Toegankelijkheidsservices, zodat u koppelingen die u hebt gekopieerd eenvoudiger kunt beheren en er actie op kunt ondernemen zonder dat u in de volledige app Klembordacties hoeft te zijn.

Dit is een methode die ontwikkelaars al geruime tijd gebruiken, en hoewel het technisch werkt, creëert het wel voor kwetsbaarheden die Google niet graag ziet.

De redenering van Google voor de nieuwe beperkingen

Hoe toegankelijk de toegankelijkheidsservices ook zijn als ze op de juiste manier worden gebruikt, het is ook mogelijk dat de service kwaadaardig wordt gebruikt. Apps die gebruik maken van toegankelijkheidsservices openen grotere beveiligingsbedreigingen dan apps die dit niet doen, en dit houdt apparaten in het risico van aanvallen.

Kort nadat Google de beslissing had aangekondigd om toepassingen te beperken die gebruik kunnen maken van Accessibility Services, werd ontdekt dat de wijziging waarschijnlijk verband hield met een "toast overlay" -aanval die was ontdekt door beveiligingsbedrijf TrendMicro. In wezen kunnen met de toast-overlay-aanval kwaadwillende apps afbeeldingen en knoppen weergeven over wat er echt moet worden getoond om persoonlijke informatie te stelen of gebruikers volledig van hun apparaat te blokkeren.

Apps die deze toast-overlay-aanval gebruiken, zijn sindsdien uit de Play Store verwijderd en een patch met het beveiligingsbulletin van september lost het beveiligingslek op, maar dit is slechts een voorbeeld van hoe een app die toegang maakt tot Accessibility Services ernstige schade kan veroorzaken.

De toekomst is API's

Apps die Toegankelijkheidsservices gebruiken om gehandicapten op legitieme manieren te helpen, blijven bestaan, maar voor degenen die niet op deze specifieke demografie zijn gericht, heeft Google een oplossing: API's. In het voorbeeld van LastPass biedt de nieuwe Autofill API met Android Oreo de mogelijkheid om LastPass vergelijkbare functionaliteit te bieden als de Auto Fill-functie zonder gebruik te maken van Accessibility Services.

API's zorgen voor vergelijkbare (en vaak betere) ervaringen dan wat hacky dev-trucs kunnen produceren.

Dit betekent wel dat gebruikers nieuwere versies van Android moeten gebruiken om toegang te krijgen tot alle functies van een aantal van hun favoriete titels, maar uiteindelijk blijft uw functionaliteit behouden en worden ook mogelijke beveiligingsrisico's beperkt.

We begrijpen de ergernis die sommige gebruikers hebben ten opzichte van deze verandering, maar als we dit bekijken vanuit het perspectief van Google, is dit een logische stap. Toegankelijkheidsservices waren nooit bedoeld om te worden gebruikt voor een groot deel van de manieren waarop bepaalde ontwikkelaars er gebruik van maken, en het is iets dat Google moet aanpakken.

Aan het einde van de dag, zodra apps zijn bijgewerkt om de vele API's van Google te ondersteunen, krijgen we vergelijkbare functies met een betere bescherming tegen aanvallen. Wat kun je nog meer vragen?