Błąd w Windowsie 10 pozwala aplikacjom UWP na dostęp do plików bez zgody użytkownika

UWP (od ang. Universal Windows Platform) to stworzony przez Microsoft interfejs API, umożliwiający tworzenie aplikacji uniwersalnych, nie tylko pod kątem Windowsa 10, ale także Xboksa One, internetu rzeczy czy headsetów rzeczywistości mieszanej.

Aplikacja tego typu mają dostęp do określonych zasobów: plików (takich jak muzyka czy obrazy), a także wybranych urządzeń – kamera, mikrofon itd. Jest to deklarowane w manifeście. Ponadto każda z nich, domyślnie, ma kontrolę nad folderem macierzystym, gdzie jest zainstalowana, oraz folderami danych aplikacji i plików tymczasowych: local, roaming, temporary.

Aby uzyskać dostęp do innych plików w systemie, włącznie z zasobami wrażliwymi, deweloper musi zadeklarować odpowiednie uprawnienia w manifeście. Jedna z funkcji, broadFileSystemAccess, pozwala uzyskać aplikacji UWP dokładnie takie same prawa, jak ma użytkownik z niej korzystający. Jeśli jednak twórca zdecyduje się z niej skorzystać, program powinien wyświetlić stosowny komunikat, informując o wszystkim użytkownika.

Jak twierdzi Sébastien Lachance, deweloper związany z UWP, wszystkie wersje Windowsa 10 aż do 1809 cierpią na błąd, przez który rzeczony komunikat nie zostaje wyświetlony, a aplikacja i tak uzyskuje komplet praw. Wkrótce potem rewelacje programisty potwierdził jeden z inżynierów Microsoftu, zaznaczając, że w październikowej aktualizacji problem wyeliminowano.

Na ten moment jedynym rozwiązaniem jest ręczne zablokowanie dostępu aplikacji do systemu plików. Chcąc tego dokonać, należy otworzyć: Ustawienia → Prywatność → System plików. Po czym wyłączyć opcję Zezwalaj aplikacjom na dostęp do systemu plików. Co oczywiste, wówczas część aplikacji UWP przestanie działać, ale system operacyjny nie będzie zagrożony możliwością niepożądanej ingerencji w jego kluczowe komponenty.