Acabo de encontrarme con varios .apk archivos alojados con proyectos de Github que están "compilados para depuración" (es decir, que tienen application-debuggable que se puede comprobar, por ejemplo, con aapt dump badging /path/to/apk | grep debuggable . Al no ser un desarrollador de Android, sólo tengo una vaga idea de para qué sirve eso (depuración extendida vía ADB) - pero esa no es la cuestión aquí.
Mi pregunta es de un perspectiva puramente de usuario final: ¿Cuáles son las implicaciones (de seguridad) de la instalación/utilización de dicha aplicación? ¿Cuáles son los riesgos que hay que tener en cuenta?
Por supuesto que busqué en la web pistas sobre esto, pero de nuevo sólo obtuve vagas pistas como "no debes", y "para una liberación esto debe ser desactivado" - sin razones, sin antecedentes. Por eso uno podría pensar "obviamente no es gran cosa" - pero notas como Dedique algún tiempo a pensar en las implicaciones de seguridad para sus usuarios en este contexto (véase esta respuesta en el SO) sugieren lo contrario.
¿Alguien puede aportar alguna idea?
0 votos
Lecturas relacionadas con la seguridad . Tenga en cuenta que en el caso de las aplicaciones web puede ser más grave (puede conceder acceso adicional y filtrar muchos datos de los usuarios a la vez), pero en general es similar a lo que he dicho a continuación - definitivamente hay problemas, pero son en su mayoría potenciales efectos secundarios más que verdaderos agujeros.
1 votos
Como nota al margen, también puedes comprobar si una aplicación es depurable desde Opciones del desarrollador - Seleccione la aplicación de depuración (al menos en la ROM de Nexus). El paquete de la aplicación depurable siempre se muestra en LogCat (en comparación con el paquete vacío de las aplicaciones de lanzamiento), lo que facilita la identificación de lo que está haciendo (ya sea para el desarrollador, el usuario final y el atacante).
0 votos
@AndrewT. Gracias por la explicación. A menudo me he preguntado cómo se debe interpretar esa configuración. Si eso ofrece una posibilidad de "comprobar el riesgo" (preferiblemente sin muchos conocimientos de dev), sería bueno saberlo. Mejor aún si se puede desactivar la bandera de depuración de la aplicación desde allí :)
1 votos
@AndrewT. Solicitud de aclaración: ¿a qué te refieres con "siempre se muestra en LogCat"? ¿Puedes dar más detalles al respecto? ¿Esto sólo se aplica a "logcat a través de ADB", o se hace visible para otras aplicaciones también?
1 votos
@MatthewRead Buena indicación para comprobar la Seguridad, por cierto. También ver allí: Desactivar el modo de depuración de la aplicación Android como práctica de seguridad - lo que hace que parezca más un problema para el desarrollador que para el usuario (aunque este último también podría verse afectado después, si se detectara una laguna legal ;)