Журнал будильника
Под доступом к журналу будильника скрывают чтение сведений о срабатывании сигнала, его изменении, отключении и переносе. Прямой строчки с таким названием в настройках нередко нет. Сбор идет через смежные права: уведомления, сведения о действиях, специальные возможности, фоновую работу и чтение системных событий. Я проверяю не название разрешения, а цепочку признаков. Она показывает, какая программа видит распорядок подъема и реакцию владельца.
Первый сигнал виден в разделе специальных прав. Подозрение вызывают службы, которым открыт просмотр уведомлений, управление поверх других окон, запуск в фоне и доступ к системным действиям. Будильник оставляет следы через карточку уведомления, экран блокировки и событие запуска приложения часов. Если служба читает уведомления, она получает время сигнала, подпись будильника и момент отключения. При наложении поверх экрана сторонний софт перехватывает касания и строит вывод по действиям пользователя.
Косвенные признаки
Дальше я сверяю поведение программ со списком выданных полномочий. Если утилита для заметок, фонарь, калькулятор или галерея держит просмотр уведомлений, причина выглядит сомнительно. Еще один признак — требование отключить контроль сна батареи или разрешить постоянную работу после перезагрузки. Такая связка нужна сборщику сведений, которому мало разового запуска. Ему важен непрерывный поток событий, включая утреннее срабатывание сигнала.
Отдельно проверяю раздел использования данных и журнал активности приложений. Подозрительная программа выходит в сеть вскоре после отключения сигнала или переноса ввремени подъема. Связь видна по всплеску передачи в фоне без действий со стороны владельца. Если такой всплеск повторяется после событий будильника, источник заслуживает разборки. Для проверки я временно запрещаю сети работу в фоне и смотрю, меняется ли поведение.
Разницу между системным правом и скрытым сбором многие пропускают. Системное приложение часов хранит сведения ради работы сигнала, повтора и истории изменений. Сторонний софт тянет смежные разрешения и собирает те же следы обходным путем. Он не пишет: «дай доступ к журналу будильника». Вместо прямой формулировки просит просмотр уведомлений, чтение состояния устройства, запуск при включении и исключение из ограничений питания. В связке такие пункты раскрывают распорядок дня точнее прямого запроса, а похожие признаки у носимого устройства удобно сопоставлять с материалом про доступ к журналу умных часов. По тому же принципу стоит проверять и доступ к черновикам сообщений, который приложения могут получать через смежные разрешения и фоновые службы.
Где искать
На телефоне я открываю карточку сомнительной программы и проверяю четыре зоны. Первая зона — разрешения. Вторая — специальные права. Третья — расход батареи в фоне. Четвертая — уведомления и их история. Если служба читает уведомления, держит постоянный процесс, переживает перезагрузку и выходит в сеть после сигнала, передо мной не случайный набор настроек, а рабочая схема слежения.
Ошибка владельца связана с доверием к безобидному названию. Калькулятор с доступом к уведомлениям и автозапуском уже выбивается из нормальной логики. Еще одна ошибка — разовый просмотр списка разрешений без сверки специальных прав. Скрытый доступ к журналу будильника нередко прячется именно вне основного раздела. Третья ошибка — игнорирование истории уведомлений. Через нее видно, какие службы читают карточки будильника и реагируют на них.
При проверке я меняю один параметр за раз. Сначала отключаю просмотр уведомлений. Затем убираю автозапуск. Далее запрещаю работу поверх окон и передачу данных в фоне. После каждой меры создаю тестовый сигнал и отслеживаю, исчезает ли сетевой всплеск или служба теряет активность. Такой порядок отделяет настоящий источник от случайного совпадения. Если после отключения одного права поведение пропало, канал найден.
Ограничения тоже есть. Часть системных журналов закрыта от просмотра без режима разработчика или служебных средств. При этом косвенных следов хватает для вывода. Связка из чтения уведомлений, фоновой передачи, автозапуска и наложения поверх экрана указывает на сбор данных о пробуждении. Для защиты хватает урезать лишние полномочия, очистить историю работы службы и удалить программу, чье назначение не объясняет такой набор прав.