Androidで設計上避けられない脆弱性を利用した攻撃方法が公開される

アプリ権限を悪用してキー入力を記録・パスワード窃取・マルウェア入りアプリインストールなどやりたい放題できる脆弱性「Cloak and Dagger」はAndroidの設計上の問題で解決困難
http://gigazine.net/news/20170525-cloak-and-dagger/


これはつまり、透明の画面を一番上に乗せることがいつでも出来るので、キーロガー仕込み放題。という事と、裏に画面を仕込む事が出来るので、裏に隠した設定画面を出してユーザーの手で許可を押させる事ができる。
というアンドロイドアプリの自由度の高さが可能にした脆弱性(?)って事ですかね(間違ってたらご指摘下さい)

確かに既存アプリに影響を与えずに根本的に解決するのは難しそうです。
脆弱性に使われる二つの権限について許可をユーザーに出させれば気づかせる事はできますが、かなり誤解を与えそうな気も…。

キーロガーはバックグラウンドでやれる事を制限するとか、裏画面は設定をバックグラウンド面で呼びせないようにすれば良いのかな？
どちらにせよgoogleにしかできない対処法ですが。

でもまあよく考えるものです。


因みにiOSではこの攻撃はほぼ無理じゃないかと思います。ここまでの自由度は無いはず。