Oprávnění aplikace (app permissions)

Příklady z praxe

1. 01

   Videohovor v prohlížeči

   Webová aplikace pro videohovor nezobrazuje žádost o kameru při načtení hlavní stránky. Aplikace požádá o přístup až po kliknutí na tlačítko „Připojit kameru“. Uživatel díky tomu vidí jasnou souvislost mezi povolením a funkcí, kterou chce právě použít.

   const status = await navigator.permissions.query({ name: "camera" });
   
   if (status.state === "granted" || status.state === "prompt") {
     const stream = await navigator.mediaDevices.getUserMedia({ video: true });
     videoElement.srcObject = stream;
   }

2. 02

   Kalendářová integrace

   Aplikace pro plánování schůzek chce zobrazit volné termíny z kalendáře, ale nepotřebuje události upravovat. Integrace proto žádá pouze oprávnění pro čtení kalendáře. Pokud by aplikace požadovala plný zápis, administrátor ve firmě by mohl souhlas zamítnout jako zbytečně široký.

   {
     "scope": "https://www.googleapis.com/auth/calendar.readonly"
   }

Časté omyly

MýtusKdyž uživatel jednou klikne na Povolit, aplikace může dělat všechno.

Ve skutečnostiUdělené oprávnění má konkrétní rozsah daný platformou, například kamera, poloha nebo čtení kalendáře. Aplikace stále podléhá dalším omezením operačního systému, prohlížeče, API a serverové autorizace.

MýtusOprávnění řeší bezpečnost za vývojáře.

Ve skutečnostiSystémový dialog je jen jedna ochranná vrstva. Vývojář musí dál omezovat rozsah dat, ověřovat operace na serveru, ukládat tokeny bezpečně a počítat s tím, že udělené oprávnění může být zneužito při chybě v aplikaci.

MýtusČím víc oprávnění aplikace požádá hned na začátku, tím méně problémů bude později.

Ve skutečnostiPředčasné a široké žádosti často vedou k odmítnutí nebo nedůvěře. Lepší je žádat postupně, v kontextu konkrétní funkce a s co nejmenším rozsahem.

Časté dotazy

Podle čeho poznám, že oprávnění aplikace dává smysl?

Oprávnění aplikace je bezpečné povolit tehdy, když je požadavek srozumitelně spojený s funkcí, kterou uživatel právě zapíná. Aplikace pro navigaci potřebuje polohu, fotoaplikace potřebuje kameru a komunikační aplikace může potřebovat mikrofon. Podezřelé je oprávnění, které nesouvisí s účelem aplikace, například kalkulačka žádající kontakty nebo svítilna žádající přístup k účtu.

Co se stane, když oprávnění aplikace později odeberu?

Oprávnění aplikace lze obvykle odebrat v nastavení operačního systému, prohlížeče nebo cloudového účtu. Odebrání může vypnout jen konkrétní funkci, například odesílání notifikací nebo přístup ke kameře. Dobře navržená aplikace po odebrání oprávnění nespadne, ale vysvětlí omezení a nabídne znovu povolení až ve chvíli, kdy je potřeba.

Proč aplikace žádá oprávnění, když už jsem přihlášený?

Oprávnění aplikace a přihlášení k účtu řeší různé části bezpečnosti. Přihlášení potvrzuje identitu uživatele, zatímco oprávnění určuje, k jakým funkcím nebo datům smí aplikace přistupovat. Přihlášená aplikace proto automaticky nemá mít přístup ke kameře, poloze ani všem datům v účtu. Rozsah přístupu má být udělen zvlášť a co nejužší.

Má být oprávnění aplikace povinné pro celé používání?

Oprávnění aplikace má být povinné jen pro funkci, která bez něj technicky nedává smysl. Aplikace pro skenování QR kódů bez kamery nepracuje plnohodnotně, ale obchodní aplikace může fungovat bez notifikací nebo přesné polohy. Povinné oprávnění bez jasného důvodu zhoršuje důvěru a často vede k horšímu hodnocení aplikace.

Zdroje

1. Permissions(otevře se v novém okně)W3C
2. Permissions API(otevře se v novém okně)MDN Web Docs
3. Permissions and consent in the Microsoft identity platform(otevře se v novém okně)Microsoft Learn
4. OAuth 2.0 Scopes for Google APIs(otevře se v novém okně)Google for Developers
5. OWASP Mobile Top 10(otevře se v novém okně)OWASP

Související pojmy

• Bankovní identitaBankovní identita je způsob ověření totožnosti člověka na internetu pomocí přihlašovacích údajů do jeho internetového bankovnictví. Banka jako ověřený zdroj potvrdí poskytovateli služby jméno, datum narození, adresu či číslo dokladu klienta, který k tomu dal souhlas. V Česku funguje pod obchodní značkou Bank iD a je uznávaným prostředkem elektronické identifikace vůči státu.
• Brute force útokBrute force útok je metoda prolomení hesla, klíče nebo jiného tajemství systematickým zkoušením možných kombinací, dokud útočník nenarazí na tu správnou. Nevyužívá žádnou chybu v algoritmu, spoléhá se čistě na výpočetní výkon a čas. Obranou je délka a entropie tajemství, pomalé hashovací funkce, omezení počtu pokusů a druhý faktor.
• CookieCookie je malý údaj, který web uloží v prohlížeči a prohlížeč jej při dalších požadavcích posílá zpět příslušnému webu. Používá se pro přihlášení, nastavení, košík, analytiku i reklamu. Bezpečné použití závisí na atributech jako Secure, HttpOnly, SameSite, expirace a správném souhlasu uživatele.
• 3D model3D model je digitální reprezentace objektu nebo prostoru ve třech rozměrech, složená z geometrie, materiálů a často i textur, animací či fyzikálních vlastností. Používá se v hrách, filmech, průmyslovém návrhu, architektuře, e-commerce i simulacích, kde software z modelu počítá zobrazení nebo další data.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Alfa kanálAlfa kanál je složka obrazových dat, která u pixelu určuje míru neprůhlednosti nebo průhlednosti. Doplňuje barevné kanály, typicky RGB, a umožňuje plynulé okraje, stíny, překryvy, masky i skládání vrstev. Hodnota alfa sama neurčuje barvu, ale říká, jak se barva pixelu promíchá s pozadím.
• Alt atributAlt atribut je atribut HTML značky <img>, který nese textovou alternativu obrázku pro situace, kdy uživatel obrázek nevidí. Čtou ho odečítače obrazovky, zobrazí se při nenačtení souboru a vyhledávače z něj odvozují obsah obrázku. Prázdná hodnota alt="" je platná a znamená, že obrázek je čistě dekorativní.