Zo beschermt Android je tweestapsauthentificatiecodes

Als je Android gebruikt, dan krijg je te maken met notificaties. Dit is de plek waar vrijwel alle meldingen van apps en het systeem binnenkomen. Een schat aan informatie dus, met zowel persoonlijke als gevoelige data. En de plek waar soms je tweestapsauthentificatiecodes binnenkomen, wanneer je ingesteld hebt die codes via sms te ontvangen.

Bescherming van Android

Reden genoeg dus om de informatie in die meldingen te beschermen. Android maakt het malafide apps al jaren aanzienlijk moeilijk als het gaat om het extraheren van gegevens uit de notificaties. Door een standaard beschermlaag kunnen die geen gegevens uit de meldingen halen, tenzij je daar toestemming voor geeft. Dat werkt zo: apps kunnen alleen melding uitlezen wanneer ze gebruik kunnen maken van de notification listener-api. Dat kan alleen wanneer je handmatig die toestemming verleent via de instellingen.

Als je wil weten welke apps daar toestemming voor hebben, of je wil de toestemmingen intrekken, dan ga je daarvoor naar Instellingen > Meldingen > Meldingen lezen, beantwoorden en beheren. Als je daarop tikt, zie je een lijstje met apps die toestemming hebben. Door op de app te tikken kun je de permissie intrekken door de schuifregelaar naast Toegang tot meldingen toestaan om te zetten. Op zich kan dat een keertje nalopen geen kwaad. Want op het moment dat een app toestemming heeft, kan die je notificaties beheren, lezen en zelfs afwijzen. Dan kan het gebeuren dat je een melding niet eens gezien hebt toen die binnenkwam, omdat een of andere app iets op de achtergrond geregeld heeft. Het maakt daarnaast ook niet uit hoe gevoelig de informatie is in de notificatie: als een app toegang heeft, kan die alles zien.

Wat veranderde er sinds Android 15?

Maar sinds de lancering van Android 15 is er iets veranderd. Binnen de genoemde api maakt Android tegenwoordig onderscheid door tweestapsauthentificatiecodes als ‘gevoelig’ aan te duiden. Alleen vertrouwde api-gebruikers krijgen dan toegang tot die gegevens. Op het moment dat een onbetrouwbare bron de melding probeert uit te lezen, dan krijgt die de boodschap dat de informatie voor die partij verborgen is.

Hiervoor zet Android de Android System Intelligence-applicatie in. Zodra dat systeem een 2fa-code opmerkt (de afkorting voor tweestapsauthentificatie), dan wordt die aangemerkt als ‘gevoelig’ en geblokkeerd voor onbetrouwbare apps. Met onbetrouwbare apps doelen we in dit geval, als we het technisch houden, op zogenaamde untrusted notification listener services. Dit zijn apps of diensten die niet de juiste permissies hebben, dus. Achter de schermen hebben ze daarvoor de toestemming receive_sensitive_notifications nodig.

Die toestemming kan alleen gegeven worden door apps met een systeemcertificaat of een specifieke rol. Hoewel alle systeemapps die rol vervullen, kunnen er ook apps zijn die geen systeemonderdeel zijn en toch dergelijke toestemmingen kunnen verlenen. Denk dan aan companion apps voor je smartwatch, Android Auto en de Android-launcher. Dit zijn apps die je heel bewust gebruikt, die daarnaast expliciet om dit soort toestemmingen vragen. Als het goed is ben je hier dus van op de hoogte — maar check de lijst alsnog even.

Kopieer sms-code

Hoewel we dankzij Android 15 een veiligere omgeving tot onze beschikking hebben, is het tegelijkertijd ook zo dat bepaalde automatisering niet meer werkt. Zo kan het gebeuren dat de knop ‘Kopieer sms-code’ (of een variant daarvan) niet meer beschikbaar is. Mocht je dat soort acties missen, dan kan helpen om onder Instellingen > Meldingen de schuifregelaar naast Verbeterde meldingen om te zetten. Dan werkt Android System Intelligence niet meer. Hier kleeft dus een risico aan; maar dan weet je het op z’n minst.

Op wat voor manier houd jij je tweestapsauthentificatiecodes veilig?