Android güvenlik modeli nasıl çalışır ve hangi izin türleri vardır

Android güvenlik modeli çok katmanlı bir sanal alan (sandbox) yapısına sahiptir: her işlem benzersiz bir UID alır, SELinux erişimi kısıtlar ve sistem normal, tehlikeli ile özel olmak üzere üç ana izni yönetir; kullanıcı bu izinleri onaylayabilir veya geri alabilir.

Güvenlik modelinin temel ilkeleri

Android, Linux çekirdeğini temel alır: her uygulama kendi UID'sine ve izole edilmiş dosya alanına (/data/data/) sahip ayrı bir işlemde çalışır. Bu yapı, en az ayrıcalık ilkesini sağlar; uygulama, açıkça izin verilmedikçe diğer uygulamaların dosyalarını ve işlemlerini göremez.

SELinux, zorunlu erişim denetimi (MAC) ekleyerek ayrıcalıklı işlemleri bile kısıtlar. Verified Boot, önyükleme bütünlüğünü doğrular; Keystore ise kriptografik anahtarları güvenli bir modülde (TPM benzeri) saklar. Scoped Storage (Android 10+) harici depolamaya erişimi sınırlar: uygulamalar öncelikle kendi dosyalarını görür, ortak verilere erişim ise seçici olarak verilir.

Uygulama izinleri nasıl çalışır

İzinler AndroidManifest.xml içinde tanımlanır ve üç ana türe ayrılır:

• Normal — zararsız izinler (örneğin INTERNET, WAKE_LOCK). Otomatik olarak verilir.
• Dangerous — hassas verilere erişim sağlayan izinler (kişiler, kamera, konum, mikrofon). İlk kullanımda çalışma zamanında (runtime) istenir.
• Special — ayarlardan manuel olarak etkinleştirilmesi gereken izinler (SYSTEM_ALERT_WINDOW, MANAGE_EXTERNAL_STORAGE).

Android 6.0'dan itibaren tehlikeli izinler talep üzerine istenir; Android 11 ile birlikte tek seferlik (one-time) izinler ve arka plan erişimi kısıtlamaları eklendi (arka plan konum erişimi ayrı bir onay gerektirir). Sistem ve imzalı uygulamalar, anahtarların eşleşmesi veya sistem bölümüne kurulması durumunda yalnızca signature/privileged hakları alır.

Bir iznin reddedilmesi ilgili işlevselliği engeller, ancak sistemin reddi doğru şekilde ele alması gerekir (birçok SDK ve kitaplık bunu hatalı yapar; uygulamanın davranışını kontrol edin).

İzin yönetimi için pratik öneriler

1. İzinleri gözden geçirin: Ayarlar > Uygulamalar > İzinler. Gereksiz olanları geri alın.
2. Kamera ve mikrofon için mümkünse tek seferlik izinleri kullanın.
3. Arka plan izinlerini (Arka plan konumu) ve uygulamaların arka plan servislerini kısıtlayın.
4. Önemli hesaplar için biyometrik doğrulama ve iki faktörlü kimlik doğrulamayı etkinleştirin.
5. İşletim sistemi güncellemelerini ve güvenlik yamalarını düzenli olarak yükleyin.
6. Gelişmiş gizlilik için desteklenen cihazlarda çalışma profillerini veya güvenli özel ROM'ları (GrapheneOS/CalyxOS) düşünün.
7. Pil ve veri kullanımını kontrol edin; ani artışlar izinlerin kötüye kullanıldığını gösterebilir.

Sık yapılan hatalar

• Kurulum sırasında amacı kontrol etmeden tüm izinleri vermek.
• Arka planda konum ve fotoğraflara erişim isteklerini görmezden gelmek.
• Yamaları uygulanmamış eski Android sürümlerini kullanmak.
• Geniş special izinlere sahip, güvenilir olmayan kaynaklardan uygulamalar yüklemek.

SSS

• Bir uygulamanın hangi izinlere sahip olduğunu nasıl görebilirim?

  • Ayarlar > Uygulamalar > Uygulamayı seçin > İzinler.

• Dosya sistemine erişimi tamamen engelleyebilir miyim?

  • Scoped Storage erişimi kısıtlar, ancak MANAGE_EXTERNAL_STORAGE gibi special izin geniş yetkiler verir ve gerekli değilse kapatılmalıdır.

• İzni geri aldıktan sonra uygulama çalışmayı durdurursa ne yapmalıyım?

  • Gerekli izni geri verin veya alternatif bulun; geliştiriciye reddin hatalı işlendiğini bildirin.

• Play Protect tüm tehditlere karşı korur mu?

  • Play Protect riski azaltır ancak %100 koruma garantisi vermez; uygulama yüklerken dikkatli olun ve güncellemeleri ihmal etmeyin.

Bu önlemler ve mekanizmalar Android'i güvenli bir platform haline getirir, ancak güvenlik aynı zamanda kullanıcıya da bağlıdır: izinleri kontrol edin, sistemi güncel tutun ve uygulamalara gereksiz haklar vermeyin.