제품 소식

Android 보안 강화: 멀웨어가 앱 데이터를 스누핑하지 못하도록 방지

읽는 데 2분 소요
Bennet Manuel & Robert Clifford

보안은 Android의 기본입니다. Google은 사용자 인증 정보 관리자(Credential Manager) 및 FLAG_SECURE(FLAG_SECURE)와 같은 강력한 보안 도구와 기능을 제공하여 플랫폼을 안전하게 유지하고 사용자 데이터를 보호하기 위해 개발자와 협력합니다. 모든 Android 출시에는 성능 및 보안 개선사항이 포함되어 있으며 Android 16을 사용하면 간단하고 중요한 단계를 거쳐 앱의 방어력을 강화할 수 있습니다. 접근성 API의 향상된 보호에 관해 자세히 알아보려면 동영상을 시청하거나 계속 읽어보세요.

 

 

단일 코드로 스누핑으로부터 앱 보호

악의적인 행위자가 Accessibility API 기능을 악용하여 화면에서 직접 비밀번호 및 금융 세부정보와 같은 민감한 정보를 읽고 터치를 삽입하여 사용자 기기를 조작하는 경우가 있습니다. 이를 방지하기 위해 Android 16은 단일 코드인 accessibilityDataSensitive에서 강력한 새로운 방어 기능을 제공합니다.

accessibilityDataSensitive 플래그를 사용하면 뷰 또는 컴포저블을 민감한 정보가 포함된 것으로 명시적으로 표시할 수 있습니다. 앱에서 이 플래그를 true로 설정하면 잠재적으로 악의적인 앱이 민감한 뷰 데이터에 액세스하거나 상호작용을 실행하는 것을 효과적으로 차단할 수 있습니다. 작동 방식은 다음과 같습니다. 접근성 도구로 명시적으로 선언하지 않은 (isAccessibilityTool=true) 접근성 권한을 요청하는 앱은 해당 뷰에 대한 액세스가 거부됩니다.

이 간단하지만 효과적인 변경사항은 멀웨어가 정보를 도용하고 무단 작업을 실행하는 것을 방지하는 데 도움이 되며, 합법적인 접근성 도구의 사용자 환경에는 영향을 미치지 않습니다. 참고: 앱이 접근성 도구가 아니지만 접근성 권한을 요청하고 isAccessibilityTool=true를 설정하는 경우 Google Play에서 거부하고 Google Play 프로텍트에서 사용자 기기에서 차단합니다. 

setFilterTouchesWhenObscured 보호를 위한 자동화된 향상된 보안

Google은 이미 이 새로운 accessibilityDataSensitive 보안 기능을 기존 setFilterTouchesWhenObscured 메서드와 통합했습니다. 

이미 setFilterTouchesWhenObscured(true)를 사용하여 탭재킹으로부터 앱을 보호하는 경우 뷰는 접근성을 위한 민감한 정보로 자동으로 처리됩니다. accessibilityDataSensitive 보호로 setFilterTouchesWhenObscured 메서드를 개선함으로써 추가 작업 없이 모든 사용자에게 추가 방어 레이어를 즉시 제공합니다.

image.png

시작하기

로그인 페이지, 결제 흐름, 개인 또는 금융 데이터를 표시하는 뷰를 비롯하여 민감한 정보가 포함된 모든 화면에서 setFilterTouchesWhenObscured 또는 accessibilityDataSensitive 플래그를 사용하는 것이 좋습니다.

Jetpack Compose

setFilterTouchesWhenObscuredaccessibilityDataSensitive

 

val composeView = LocalView.current DisposableEffect(Unit) { composeView.filterTouchesWhenObscured = true onDispose { composeView.filterTouchesWhenObscured = false } }

 

semantics 수정자를 사용하여 컴포저블에 sensitiveData 속성을 적용합니다.

BasicText { text = “Your password”,

            modifier = Modifier.semantics {

                sensitiveData = true }}

 

 

뷰 기반 앱

XML 레이아웃에서 민감한 뷰에 관련 속성을 추가합니다.

setFilterTouchesWhenObscuredaccessibilityDataSensitive

 

<TextView android:filterTouchesWhenObscured="true" />

 

 

<TextView android:accessibilityDataSensitive="true" />

 

또는 Java 또는 Kotlin에서 프로그래매틱 방식으로 속성을 설정할 수 있습니다.

setFilterTouchesWhenObscuredaccessibilityDataSensitive

 

myView.filterTouchesWhenObscured = true;

 

 

myView.isAccessibilityDataSensitive = true;

 

 

myView.setFilterTouchesWhenObscured(true)

 

 

myView.setAccessibilityDataSensitive(true);

 

탭재킹 가이드에서 accessibilityDataSensitive 및 setFilterTouchesWhenObscured 플래그에 관해 자세히 알아보세요.

개발자와 협력하여 사용자 안전 유지

Google은 이 기능이 실제 요구사항을 충족하고 워크플로에 원활하게 통합되도록 개발자와 협력했습니다.

image.png

Google은 항상 고객의 민감한 금융 데이터를 보호하는 것을 우선시해 왔으며, 이를 위해서는 접근성 기반 멀웨어로부터 자체 보호 레이어를 구축해야 했습니다. Revolut은 이 새로운 공식 Android API의 도입을 강력히 지지합니다. 이 API를 사용하면 강력한 단일 코드 플랫폼 방어를 위해 맞춤 코드를 점진적으로 삭제할 수 있기 때문입니다."
- Vladimir Kozhevnikov, Revolut의 Android 엔지니어

이러한 기능을 채택하면 악의적인 접근성 기반 공격으로부터 사용자를 보호하는 데 중요한 역할을 할 수 있습니다. 모든 개발자가 이러한 기능을 앱에 통합하여 사용자를 안전하게 보호할 수 있도록 하는 것이 좋습니다. 

함께 모든 사용자를 위해 더 안전하고 신뢰할 수 있는 환경을 구축할 수 있습니다.

작성자:

계속 읽기