Sichere Codierungstechnik: Lass uns über Tapjacking sprechen
Tapjacking, eine Kombination aus „Tap“ und „Hijacking“, bedeutet genau das. Es handelt sich um einen Angriff, bei dem der Angreifer die Taps des Benutzers kapert und ihn dazu bringt, etwas zu tun, was er nicht beabsichtigt hat. Wie funktioniert es also und wie verhindern wir es?
Wir beginnen unsere Geschichte mit Bildschirm-Overlays. Bildschirmüberlagerungen oder, wie Google sie nennt, Fenster mit dem Typ TYPE_APPLICATION_OVERLAY. Dies sind Fenster, die über anderen Apps gezeichnet werden und normalerweise nur einen Teil des Bildschirms verdecken. Diese werden häufig verwendet (wie das Beispielbild unten), wenn eine App neue Berechtigungen anfordert.
Dies ist eigentlich eine coole und unterhaltsame Funktion, und immer mehr Apps beginnen, sie zu verwenden. Denken Sie an die Chat-Blasen von Facebook oder die Google Maps-Navigation in einer Ecke Ihres Bildschirms, wie im Screenshot unten.
Diese Overlays bergen jedoch einige Sicherheitsrisiken. Jedes aktive Bildschirm-Overlay kann auf Tips achten. Woher sollte Facebook sonst wissen, dass wir auf die Blase getippt oder gezogen haben? Dadurch können Apps dich ausspionieren und möglicherweise Passwörter und Kreditkartendaten stehlen.
Noch einen Schritt weiter, und hier kommt der Begriff Tapjacking her. Overlays können Dinge auf andere Apps zeichnen und den Benutzer dazu verleiten, verschiedene Aktionen auszuführen. Der Benutzer glaubt, mit dem Overlay zu interagieren, aber in Wirklichkeit führen seine Taps auch Aktionen in der zugrunde liegenden App aus. Auf diese Weise kann dich das Overlay dazu verleiten, bestimmte Berechtigungen zu aktivieren oder einige gefährliche Einstellungen zu ändern, wie hier gezeigt altes YouTube-Video.
Das obige Demonstrationsvideo wurde 2010 auf YouTube hochgeladen, also auf einer älteren Version von Android. Aber der Angriff ist auch heute noch relevant, wie Schwachstellen kam ans Licht, das Tapjacking in neueren Versionen von Android wie Nougat und Marshmallow ermöglicht.
Also, was kannst du dagegen tun? Als Benutzer ist es wichtig, die Konsequenzen dieser Overlays zu erkennen und sich der Apps bewusst zu sein, die sie verwenden. Ab API-Level 23 (Android 6.0 Marshmallow) ist dies zu einer Erlaubnis geworden muss vom Nutzer ausdrücklich erteilt werden. Das lässt jedoch 50% von AndroidBenutzer sind immer noch anfällig. In den Einstellungen unter „Vor anderen Apps anzeigen“ kannst du immer noch überprüfen, welche Apps von dieser Berechtigung Gebrauch machen.
Als Entwickler liegt es an uns, sicherzustellen, dass Benutzeraktionen mit dem vollen Wissen und der Zustimmung des Benutzers durchgeführt werden. Android bietet eine Einstellung für Ihre Ansichten, die genau das tun, nämlich Filtert Berührungen, wenn sie verdeckt sind. Wenn es aktiviert ist, verwirft das Framework Berührungen, die empfangen werden, wenn das Ansichtsfenster durch ein anderes sichtbares Fenster verdeckt wird. So einfach ist das, set Berührungen filtern, wenn sie verdeckt sind auf true, und Ihre App ist vor Tapjacking sicher.
Viel Glück und wir sehen uns nächste Woche!
Manchmal ist es wichtig, dass eine Anwendung überprüfen kann, ob eine Aktion mit dem vollen Wissen und der Zustimmung des Benutzers ausgeführt wird, z. B. wenn eine Genehmigungsanfrage erteilt, ein Kauf getätigt oder auf eine Anzeige geklickt wird. Leider kann eine böswillige Anwendung versuchen, den Benutzer dazu zu verleiten, diese Aktionen auszuführen, ohne es zu merken, indem sie den beabsichtigten Zweck der Ansicht verheimlicht.
https://developer.android.com/reference/android/view/View.html
Manchmal ist es wichtig, dass eine Anwendung überprüfen kann, ob eine Aktion mit dem vollen Wissen und der Zustimmung des Benutzers ausgeführt wird.
Application Security Researcher - R&D Engineer - PhD Candidate
Secure Code Warrior ist für Ihr Unternehmen da, um Ihnen zu helfen, Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder jemand anderes sind, der sich mit Sicherheit befasst, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Eine Demo buchen
Application Security Researcher - R&D Engineer - PhD Candidate
Tapjacking, eine Kombination aus „Tap“ und „Hijacking“, bedeutet genau das. Es handelt sich um einen Angriff, bei dem der Angreifer die Taps des Benutzers kapert und ihn dazu bringt, etwas zu tun, was er nicht beabsichtigt hat. Wie funktioniert es also und wie verhindern wir es?
Wir beginnen unsere Geschichte mit Bildschirm-Overlays. Bildschirmüberlagerungen oder, wie Google sie nennt, Fenster mit dem Typ TYPE_APPLICATION_OVERLAY. Dies sind Fenster, die über anderen Apps gezeichnet werden und normalerweise nur einen Teil des Bildschirms verdecken. Diese werden häufig verwendet (wie das Beispielbild unten), wenn eine App neue Berechtigungen anfordert.
Dies ist eigentlich eine coole und unterhaltsame Funktion, und immer mehr Apps beginnen, sie zu verwenden. Denken Sie an die Chat-Blasen von Facebook oder die Google Maps-Navigation in einer Ecke Ihres Bildschirms, wie im Screenshot unten.
Diese Overlays bergen jedoch einige Sicherheitsrisiken. Jedes aktive Bildschirm-Overlay kann auf Tips achten. Woher sollte Facebook sonst wissen, dass wir auf die Blase getippt oder gezogen haben? Dadurch können Apps dich ausspionieren und möglicherweise Passwörter und Kreditkartendaten stehlen.
Noch einen Schritt weiter, und hier kommt der Begriff Tapjacking her. Overlays können Dinge auf andere Apps zeichnen und den Benutzer dazu verleiten, verschiedene Aktionen auszuführen. Der Benutzer glaubt, mit dem Overlay zu interagieren, aber in Wirklichkeit führen seine Taps auch Aktionen in der zugrunde liegenden App aus. Auf diese Weise kann dich das Overlay dazu verleiten, bestimmte Berechtigungen zu aktivieren oder einige gefährliche Einstellungen zu ändern, wie hier gezeigt altes YouTube-Video.
Das obige Demonstrationsvideo wurde 2010 auf YouTube hochgeladen, also auf einer älteren Version von Android. Aber der Angriff ist auch heute noch relevant, wie Schwachstellen kam ans Licht, das Tapjacking in neueren Versionen von Android wie Nougat und Marshmallow ermöglicht.
Also, was kannst du dagegen tun? Als Benutzer ist es wichtig, die Konsequenzen dieser Overlays zu erkennen und sich der Apps bewusst zu sein, die sie verwenden. Ab API-Level 23 (Android 6.0 Marshmallow) ist dies zu einer Erlaubnis geworden muss vom Nutzer ausdrücklich erteilt werden. Das lässt jedoch 50% von AndroidBenutzer sind immer noch anfällig. In den Einstellungen unter „Vor anderen Apps anzeigen“ kannst du immer noch überprüfen, welche Apps von dieser Berechtigung Gebrauch machen.
Als Entwickler liegt es an uns, sicherzustellen, dass Benutzeraktionen mit dem vollen Wissen und der Zustimmung des Benutzers durchgeführt werden. Android bietet eine Einstellung für Ihre Ansichten, die genau das tun, nämlich Filtert Berührungen, wenn sie verdeckt sind. Wenn es aktiviert ist, verwirft das Framework Berührungen, die empfangen werden, wenn das Ansichtsfenster durch ein anderes sichtbares Fenster verdeckt wird. So einfach ist das, set Berührungen filtern, wenn sie verdeckt sind auf true, und Ihre App ist vor Tapjacking sicher.
Viel Glück und wir sehen uns nächste Woche!
Manchmal ist es wichtig, dass eine Anwendung überprüfen kann, ob eine Aktion mit dem vollen Wissen und der Zustimmung des Benutzers ausgeführt wird, z. B. wenn eine Genehmigungsanfrage erteilt, ein Kauf getätigt oder auf eine Anzeige geklickt wird. Leider kann eine böswillige Anwendung versuchen, den Benutzer dazu zu verleiten, diese Aktionen auszuführen, ohne es zu merken, indem sie den beabsichtigten Zweck der Ansicht verheimlicht.
https://developer.android.com/reference/android/view/View.html
Tapjacking, eine Kombination aus „Tap“ und „Hijacking“, bedeutet genau das. Es handelt sich um einen Angriff, bei dem der Angreifer die Taps des Benutzers kapert und ihn dazu bringt, etwas zu tun, was er nicht beabsichtigt hat. Wie funktioniert es also und wie verhindern wir es?
Wir beginnen unsere Geschichte mit Bildschirm-Overlays. Bildschirmüberlagerungen oder, wie Google sie nennt, Fenster mit dem Typ TYPE_APPLICATION_OVERLAY. Dies sind Fenster, die über anderen Apps gezeichnet werden und normalerweise nur einen Teil des Bildschirms verdecken. Diese werden häufig verwendet (wie das Beispielbild unten), wenn eine App neue Berechtigungen anfordert.
Dies ist eigentlich eine coole und unterhaltsame Funktion, und immer mehr Apps beginnen, sie zu verwenden. Denken Sie an die Chat-Blasen von Facebook oder die Google Maps-Navigation in einer Ecke Ihres Bildschirms, wie im Screenshot unten.
Diese Overlays bergen jedoch einige Sicherheitsrisiken. Jedes aktive Bildschirm-Overlay kann auf Tips achten. Woher sollte Facebook sonst wissen, dass wir auf die Blase getippt oder gezogen haben? Dadurch können Apps dich ausspionieren und möglicherweise Passwörter und Kreditkartendaten stehlen.
Noch einen Schritt weiter, und hier kommt der Begriff Tapjacking her. Overlays können Dinge auf andere Apps zeichnen und den Benutzer dazu verleiten, verschiedene Aktionen auszuführen. Der Benutzer glaubt, mit dem Overlay zu interagieren, aber in Wirklichkeit führen seine Taps auch Aktionen in der zugrunde liegenden App aus. Auf diese Weise kann dich das Overlay dazu verleiten, bestimmte Berechtigungen zu aktivieren oder einige gefährliche Einstellungen zu ändern, wie hier gezeigt altes YouTube-Video.
Das obige Demonstrationsvideo wurde 2010 auf YouTube hochgeladen, also auf einer älteren Version von Android. Aber der Angriff ist auch heute noch relevant, wie Schwachstellen kam ans Licht, das Tapjacking in neueren Versionen von Android wie Nougat und Marshmallow ermöglicht.
Also, was kannst du dagegen tun? Als Benutzer ist es wichtig, die Konsequenzen dieser Overlays zu erkennen und sich der Apps bewusst zu sein, die sie verwenden. Ab API-Level 23 (Android 6.0 Marshmallow) ist dies zu einer Erlaubnis geworden muss vom Nutzer ausdrücklich erteilt werden. Das lässt jedoch 50% von AndroidBenutzer sind immer noch anfällig. In den Einstellungen unter „Vor anderen Apps anzeigen“ kannst du immer noch überprüfen, welche Apps von dieser Berechtigung Gebrauch machen.
Als Entwickler liegt es an uns, sicherzustellen, dass Benutzeraktionen mit dem vollen Wissen und der Zustimmung des Benutzers durchgeführt werden. Android bietet eine Einstellung für Ihre Ansichten, die genau das tun, nämlich Filtert Berührungen, wenn sie verdeckt sind. Wenn es aktiviert ist, verwirft das Framework Berührungen, die empfangen werden, wenn das Ansichtsfenster durch ein anderes sichtbares Fenster verdeckt wird. So einfach ist das, set Berührungen filtern, wenn sie verdeckt sind auf true, und Ihre App ist vor Tapjacking sicher.
Viel Glück und wir sehen uns nächste Woche!
Manchmal ist es wichtig, dass eine Anwendung überprüfen kann, ob eine Aktion mit dem vollen Wissen und der Zustimmung des Benutzers ausgeführt wird, z. B. wenn eine Genehmigungsanfrage erteilt, ein Kauf getätigt oder auf eine Anzeige geklickt wird. Leider kann eine böswillige Anwendung versuchen, den Benutzer dazu zu verleiten, diese Aktionen auszuführen, ohne es zu merken, indem sie den beabsichtigten Zweck der Ansicht verheimlicht.
https://developer.android.com/reference/android/view/View.html
Klicken Sie auf den Link unten und laden Sie das PDF dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Ihnen zu helfen, Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder jemand anderes sind, der sich mit Sicherheit befasst, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenEine Demo buchen
Application Security Researcher - R&D Engineer - PhD Candidate
Tapjacking, eine Kombination aus „Tap“ und „Hijacking“, bedeutet genau das. Es handelt sich um einen Angriff, bei dem der Angreifer die Taps des Benutzers kapert und ihn dazu bringt, etwas zu tun, was er nicht beabsichtigt hat. Wie funktioniert es also und wie verhindern wir es?
Wir beginnen unsere Geschichte mit Bildschirm-Overlays. Bildschirmüberlagerungen oder, wie Google sie nennt, Fenster mit dem Typ TYPE_APPLICATION_OVERLAY. Dies sind Fenster, die über anderen Apps gezeichnet werden und normalerweise nur einen Teil des Bildschirms verdecken. Diese werden häufig verwendet (wie das Beispielbild unten), wenn eine App neue Berechtigungen anfordert.
Dies ist eigentlich eine coole und unterhaltsame Funktion, und immer mehr Apps beginnen, sie zu verwenden. Denken Sie an die Chat-Blasen von Facebook oder die Google Maps-Navigation in einer Ecke Ihres Bildschirms, wie im Screenshot unten.
Diese Overlays bergen jedoch einige Sicherheitsrisiken. Jedes aktive Bildschirm-Overlay kann auf Tips achten. Woher sollte Facebook sonst wissen, dass wir auf die Blase getippt oder gezogen haben? Dadurch können Apps dich ausspionieren und möglicherweise Passwörter und Kreditkartendaten stehlen.
Noch einen Schritt weiter, und hier kommt der Begriff Tapjacking her. Overlays können Dinge auf andere Apps zeichnen und den Benutzer dazu verleiten, verschiedene Aktionen auszuführen. Der Benutzer glaubt, mit dem Overlay zu interagieren, aber in Wirklichkeit führen seine Taps auch Aktionen in der zugrunde liegenden App aus. Auf diese Weise kann dich das Overlay dazu verleiten, bestimmte Berechtigungen zu aktivieren oder einige gefährliche Einstellungen zu ändern, wie hier gezeigt altes YouTube-Video.
Das obige Demonstrationsvideo wurde 2010 auf YouTube hochgeladen, also auf einer älteren Version von Android. Aber der Angriff ist auch heute noch relevant, wie Schwachstellen kam ans Licht, das Tapjacking in neueren Versionen von Android wie Nougat und Marshmallow ermöglicht.
Also, was kannst du dagegen tun? Als Benutzer ist es wichtig, die Konsequenzen dieser Overlays zu erkennen und sich der Apps bewusst zu sein, die sie verwenden. Ab API-Level 23 (Android 6.0 Marshmallow) ist dies zu einer Erlaubnis geworden muss vom Nutzer ausdrücklich erteilt werden. Das lässt jedoch 50% von AndroidBenutzer sind immer noch anfällig. In den Einstellungen unter „Vor anderen Apps anzeigen“ kannst du immer noch überprüfen, welche Apps von dieser Berechtigung Gebrauch machen.
Als Entwickler liegt es an uns, sicherzustellen, dass Benutzeraktionen mit dem vollen Wissen und der Zustimmung des Benutzers durchgeführt werden. Android bietet eine Einstellung für Ihre Ansichten, die genau das tun, nämlich Filtert Berührungen, wenn sie verdeckt sind. Wenn es aktiviert ist, verwirft das Framework Berührungen, die empfangen werden, wenn das Ansichtsfenster durch ein anderes sichtbares Fenster verdeckt wird. So einfach ist das, set Berührungen filtern, wenn sie verdeckt sind auf true, und Ihre App ist vor Tapjacking sicher.
Viel Glück und wir sehen uns nächste Woche!
Manchmal ist es wichtig, dass eine Anwendung überprüfen kann, ob eine Aktion mit dem vollen Wissen und der Zustimmung des Benutzers ausgeführt wird, z. B. wenn eine Genehmigungsanfrage erteilt, ein Kauf getätigt oder auf eine Anzeige geklickt wird. Leider kann eine böswillige Anwendung versuchen, den Benutzer dazu zu verleiten, diese Aktionen auszuführen, ohne es zu merken, indem sie den beabsichtigten Zweck der Ansicht verheimlicht.
https://developer.android.com/reference/android/view/View.html
Inhaltsverzeichniss
Application Security Researcher - R&D Engineer - PhD Candidate
Secure Code Warrior ist für Ihr Unternehmen da, um Ihnen zu helfen, Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder jemand anderes sind, der sich mit Sicherheit befasst, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Eine Demo buchenHerunterladenRessourcen für den Einstieg
Themen und Inhalte der Securecode-Schulung
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um der sich ständig ändernden Softwareentwicklungslandschaft unter Berücksichtigung Ihrer Rolle gerecht zu werden. Themen, die alles von KI bis XQuery Injection abdecken und für eine Vielzahl von Rollen angeboten werden, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA. Verschaffen Sie sich einen kleinen Einblick in das Angebot unseres Inhaltskatalogs nach Themen und Rollen.
%20(1).avif)
.avif)
Threat Modeling with AI: Turning Every Developer into a Threat Modeler
Walk away better equipped to help developers combine threat modeling ideas and techniques with the AI tools they're already using to strengthen security, improve collaboration, and build more resilient software from the start.
Ressourcen für den Einstieg
Cybermon is back: Beat the Boss KI-Missionen jetzt auf Abruf verfügbar
Cybermon 2025 Beat the Boss ist jetzt das ganze Jahr über in SCW verfügbar. Setzt fortschrittliche KI/LLM-Sicherheitsanforderungen ein, um die sichere KI-Entwicklung in einem großen Maßstab zu stärken.
Cyber-Resilienz-Gesetz erklärt: Was das für die Entwicklung von Secure by Design-Software bedeutet
Erfahren Sie, was der EU Cyber Resilience Act (CRA) verlangt, für wen er gilt und wie sich Entwicklungsteams mit sicheren Methoden, der Vorbeugung von Sicherheitslücken und dem Aufbau von Fähigkeiten für Entwickler darauf vorbereiten können.
