Бъг в Windows 10 разрешава на приложенията от Universal Windows Platform пълен достъп до файловата система
Една грешка в Windows 10 позволи на UWP приложенията (универсална платформа на Windows) да имат достъп до цялата файлова система в Windows без разрешение от потребителя. Това би позволило на злонамерено приложение да има достъп до всички данни, съхранени на компютъра, без знанието или съгласието на потребителя.
По подразбиране UWP приложенията имат достъп само до файлове и папки, намиращи се в инсталационната директория на приложението, и в местата за съхранение на данни в AppData \ Local, AppData \ Roaming и Temp папката. Ако дадено приложение трябва да има достъп до файлове извън тези местоположения, те могат да показват файл за избор на файл / папка, който може да бъде използван за избор на файл, или програмистът може да обяви допълнително разрешение за приложението.
Допълнителните разрешения могат да бъдат декларирани, като се добавят към файла на манифеста на пакета на приложението, което може да разреши достъп до папки като документи, музика, снимки и т.н. Можете да видите долупосочен пример за това, как разрешение на приложение на потребителската библиотека с изображения е дадено.
Тези разрешения след това се показват в описанието на приложението в Microsoft Store.
Има едно разрешение, което разработчикът може да даде на приложението си, което дава достъп на приложението им до цялата файлова система. Това разрешение се нарича broadFileSystemAccess, което можете да видите как е дадено на Microsoft Sticky Notes в протокола за пакети на приложението по-долу.
Според документацията на разработчика за разрешението broadFileSystemAccess той осигурява достъп до “Всички файлове, до които потребителят има достъп. Например: документи, видео, снимки, изтегляния, настолни компютри, OneDrive и т.н.”
“Това е ограничен капацитет. При първа употреба системата ще подкани потребителя да разреши достъп”, продължава документацията на Microsoft за разработчици. “Достъпът може да се конфигурира в Настройки> Поверителност> Файлова система. Ако изпратите приложение в магазина, което декларира тази възможност, ще трябва да предоставите допълнителни описания за това, защо приложението ви се нуждае от тази възможност и как възнамерява да го използва.
Това означава, че ако разработчикът добави това разрешение, при първото използване на приложение с това разрешение, Windows 10 трябва да показва екран с настройки, в който можете да активирате това разрешение. Тази страница с настройки може да се намери в Настройки -> Поверителност -> Файлова система, както е показано по-долу.
Според разработчика на приложения за Windows Себастиен Льоханс, бъг в Windows 10 е направила така, че екранът с настройки по-горе да не се показва. За да станат нещата още по-лоши, преди Build 1809 (октомври 2018 г.), изискването първо да се даде възможност за достъп до файловата система в екрана Настройки не беше изпълнено. Това означава, че потребителите не е необходимо да дават изрично разрешение за приложенията им да имат пълен достъп до файловата система, когато е използвано разрешението broadFileSystemAccess.
“След като инсталирах актуализацията от октомври 2018 г., осъзнах, че приложението ми се крашва при стартиране.Аз разбрах, че достъпът до файла ми по-горе е срив на приложението.Мислех, че манифестът е променен, но не, аз се свързах с приятелите си в Microsoft и те ми потвърдиха две важни неща:
1- Диалоговият прозорец на Windows, който се очаква да бъде показан при първия достъп до файл, който не се задейства, е * грешка *.
2 – Тъй като проблемът е поверителност, Microsoft реши с актуализацията от октомври 2018 г. да изключи стойността на файловата система за широк достъп.”
Льоханс откри тoзи бъг в Windows 10, след като създаде приложение, използващо разрешението broadFileSystemAccess, за да получи достъп до данни в твърдо кодирано местоположение “C: \ myAppData”. След надстройването до актуализацията от октомври 2018 г. приложението му изведнъж започна да се срива при стартиране.
Това е така, защото в Build 1809 Microsoft започна да налага изискването, че потребителите дават разрешение чрез страницата Settings (Настройки), преди да бъдае разрешено broadFileSystemAccess. За съжаление, актуализацията от октомври 2018 г. е изтеглена, тъй като Microsoft отстранява критичните бъгове, открити след първоначалното им пускане.
За да избегнем катастрофи, които ще настъпят, когато това разрешение бъде приложено правилно, Льоханс предлага разработчиците на UWP приложения да задействат следната команда, когато приложението трябва да има достъп до папки извън обичайно разрешените папки на приложението.
await Windows.System.Launcher.LaunchUriAsync(new Uri(“ms-settings:privacy-broadfilesystemaccess”));
Важно е да отбележим, че разработчиците, които използват широко File Access и публикуват приложението си в магазина на Microsoft, трябва да предоставят информация за това защо е необходимо това разрешение. Оттам ще се очаква, че Microsoft ще направи по-задълбочен преглед на приложението, за да определи дали има злонамерена дейност.
За съжаление, както показва скорошен троянец на реклами с кликвания в магазина на Microsoft, който се преструваше, че е приложение Google Фото от Google. Microsoft може да не извършва задълбочен преглед на подадените приложения.
