24 votes

Les applications ne sont pas autorisées par Google à lire les SMS, mais pourquoi peuvent-elles lire directement les SMS OTP ?

L'application Termux:API a une commande termux-sms-list pour lister les messages SMS sur le terminal Termux. Cependant, le wiki dit qu'il n'est plus supporté à cause de Google.

L'utilisation de cette API n'est plus autorisée par Google et nous avons dû la désactiver pour éviter le retrait de l'application Termux:API du Google Play.

Toutefois, les applications bancaires qui utilisent l'authentification OTP par SMS peuvent toujours lire automatiquement le SMS entrant et saisir le mot de passe sans intervention de l'utilisateur.

Qu'est-ce qui les différencie au niveau de l'API ?

26voto

Andrew T. Points 12017

Google empêche les applications d'utiliser (mal) les autorisations relatives aux journaux d'appels et/ou aux SMS si elles ne constituent pas les fonctionnalités de base des applications, avec quelques exceptions et alternatives.

SMS ( termux-sms-list y termux-sms-send ) et Journal des appels ( termux-call-log ) ne sont pas l'objectif principal de l'application Termux:API, le développeur a donc dû supprimer les permissions pour éviter que l'application ne soit retirée du Play Store.

Von Aide sur la console de jeu ,

Si votre application ne nécessite pas l'accès aux autorisations relatives aux journaux d'appels ou aux SMS, vous devez supprimer ces autorisations du manifeste de votre application. Les détails de la mise en œuvre alternative conforme à la politique sont également détaillés ci-dessous.

Quand devez-vous accéder à ces permissions

Vous ne devez accéder aux autorisations relatives aux journaux d'appels ou aux SMS que lorsque votre application entre dans le cadre des utilisations autorisées et uniquement pour activer les fonctionnalités essentielles de votre application.

La fonctionnalité de base est définie comme l'objectif principal de l'application. Il peut s'agir d'un ensemble de fonctionnalités de base, qui doivent toutes être documentées et mises en avant dans la description de l'application. Sans la ou les fonctionnalités de base, l'application est "cassée" ou rendue inutilisable.

Il existe quelques exceptions temporaires que le développeur peut demander (détails sur la même page d'aide), mais au final, c'est à la discrétion de Google de l'autoriser ou non.

D'autre part, Google propose également une alternative exclusif pour lire les SMS OTP, appelé API de vérification des SMS qui utilise les services Google Play . Il n'est pas nécessaire qu'une application demande l'autorisation d'envoyer des SMS, mais l'appareil doit disposer de Play Services.

Mais non, la restriction est principalement limitée à la politique du Google Play Store . Les applications hébergées sur des marchés alternatifs ou auto-hébergées peuvent ignorer cette règle et se contenter d'utiliser les autorisations Android comme auparavant sans se soucier du retrait de la liste, bien que les utilisateurs puissent se sentir mal à l'aise avec ces autorisations qui portent atteinte à la vie privée.


En bref, du point de vue de l'API, la différence est la suivante :

  1. Termux:API utilisée Le système de permission d'Android qui est maintenant restreint par la politique du Google Play Store.
  2. Les applications bancaires (et autres) utilisent API de vérification par SMS du service Google Play pour lire exclusivement les SMS OTP destinés à leurs propres applications.

androidalle.com

AndroidAlle est une communauté de androiders où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X