startService() с разрешениями

Question

Так что я заметил, что нет варианта startService(), который принимает разрешение. Разве это не опасно?

Я представил себе следующий простой сценарий атаки:

1. APPA называет StartService с помощью явного намерения на «myApp.serviceClass». Этот класс сервиса должен быть экспортирован в AppB, который должен быть установлен отдельно.
2. Злоумышленник может создать вредоносную версию AppB. Последний будет экспортировать «myApp.serviceClass» в качестве службы, а затем захватить данные, которые включены в намерение, когда AppA вызывает startService().

Я что-то упустил? Я ожидал какой-то вариант startService(), который требует, чтобы целевое приложение обладало определенным разрешением, как это делает sendBroadcast (намерение, разрешение). Как вы могли бы предотвратить такое вмешательство?

Спасибо!

Answer 1

Я что-то не хватает?

Да. Разрешение не решает проблему, так как злоумышленник просто заявляет, что они имеют соответствующее разрешение. На Android 4.4 и ниже, if the attacker is installed first, the user might not even know about this. Или пользователь может вслепую согласиться с разрешением.

Как бы вы предотвратили такое вмешательство?

На клиента лежит ответственность за подтверждение того, что услуга является надлежащей реализацией. Одним из решений является проверка ключа подписи, используемого для подписи файла APK службы, сравнивая его с известным значением. Для этой цели у моей библиотеки CWAC-Security есть a SignatureUtils class. Этот pair of sample projects иллюстрирует подход.