приватные разрешения отправителя и получателя на передачу

Question

Недавно я просмотрел код в своем исходном коде Android, используя службу HPFortify. Они сообщили об уязвимости в отношении одного из широковещательных приемников и отправителя. Передатчик и получатель широковещательных сообщений являются внутренними для приложения, и намерение не отправляется за пределы приложения. Они в основном используются для внутренней связи. HPFortify предложила использовать разрешение телевещательной компании, чтобы уменьшить вектор атаки. Таким образом, вы ограничиваете вещательную компанию, иначе любое вредоносное приложение может отправить намерение, и широковещательный приемник обработает его. Аналогичным образом они предложили использовать разрешение приемника, чтобы переданное намерение было получено предполагаемым приемником. Этот вещатель и приемник являются внутренними для приложения, а другое приложение не использует это намерение. Вот мой фактический код для вещательной:

Intent updatedIntent = new Intent("SOME-ACTION"); 
Context context = getAppContext(); 
context.sendBroadcast(updatedIntent); 

Я динамически регистрации приемника широковещательной передачи, используя следующий фрагмент кода.

this.registerReceiver(updatedReceiver, 
new IntentFilter("SOME-ACTION")); 

HPFortify предполагает, что использование sendBroadcast с примером разрешения строки:

Intent updatedIntent = new Intent("SOME-ACTION"); 
Context context = getAppContext(); 
context.sendBroadcast(updatedIntent, "SOME-PERMISSION"); 

Аналогично для вещательного приемника:

this.registerReceiver(updatedReceiver, 
    new IntentFilter("SOME-ACTION"), 
    "SOME-PERMISSION", null); 

Я не знаю, как определить это разрешение и использовать его в вещателе и широковещательном приемнике. Мне нужно определить личное разрешение в AndroidManifest.xml и использовать его здесь?

Answer 1

Если вам нужно транслировать в приложении, используйте LocalBroadCastManager, потому что локальный диспетчер радиовещания никогда не передает трансляцию трансляции вне текущего процесса.

И если вы хотите, чтобы другие приложения могли получать или отправлять ваши трансляции, используйте BroadCastManager, и вам необходимо применить разрешения на использование (пользовательское разрешение пользователя).

для получения дополнительной информации см. Ниже Документация на Android для широковещательного приемника, в котором содержится подробная информация о безопасности в разделе безопасности.

http://developer.android.com/reference/android/content/BroadcastReceiver.html

Answer 2

Нужно ли мне определять личное разрешение в AndroidManifest.xml и использовать его здесь?

Да. Разрешения всегда должны быть определены в манифесте. В противном случае Android не мог знать, какой уровень защиты использовать для этого разрешения.