מבוא
בעולם פיתוח ואבטחת האיכות של אנדרואיד, נושא אחד תמיד מעורר ויכוח בין מכשירים עם מערכת הפעלה rooted לבין מכשירים שאינם rooted. עבור בודקים ואנשי מקצוע בתחום אבטחת איכות, ההחלטה לבדוק בכל אחת מהסביבות נושאת השלכות חשובות על ביצועי אבטחה, הרשאות וחוויית משתמש. מכיוון שאנדרואיד מפעילה מיליארדי מכשירים ברחבי העולם, הבנת האופן שבו rooting משנה את נוף התנהגות האפליקציות היא קריטית.
מאמר זה בוחן את ההבדלים בין מכשירים עם root למכשירים שאינם root, היתרונות והחסרונות של כל אחד מהם, וכיצד בודקים יכולים ליצור אסטרטגיות המתייחסות לשני התרחישים. כמו כן, הוא יבחן שיטות עבודה מומלצות ב... בדיקות יישומים ניידים כדי לעזור לאנשי מקצוע בתחום האיכות לספק אפליקציות שעובדות בצורה חלקה בסביבות שונות.
מה זה רוטינג
רוטינג הוא תהליך של קבלת שליטה מועדפת או גישת רוט על מערכת ההפעלה של אנדרואיד. במהותו, רוטינג מעניק למשתמשים הרשאות ניהול הדומות לגישת משתמש-על בלינוקס. זה מאפשר שינויים הרבה מעבר למה שהתכוון היצרן.
רוטציה כוללת בדרך כלל:
- היכולת להסיר את ההתקנה של אפליקציות מערכת שהותקנו מראש.
- התקנת ROMs וקרינים מותאמים אישית עבור תכונות חדשות.
- שינוי קבצי מערכת ותצורות.
- מתן גישה לאפליקציות לאזורים מוגבלים במערכת ההפעלה.
מעבר לפונקציות הליבה הללו, רוטינג מאפשר גם התאמה אישית מתקדמת כגון אוברקלוקינג של המעבד לשיפור הביצועים או תת-קלוקינג כדי לחסוך בחיי הסוללה. משתמשים יכולים להתקין אפליקציות הדורשות גישה עמוקה למערכת, שאינן זמינות במכשירים שאינם מורשים, ואף לחסום פרסומות בכל האפליקציות. עם זאת, החופש המושג באמצעות רוטינג כרוך במחיר. כיסוי האחריות עשוי להתבטל, ושינויים לא נאותים עלולים לגרום לחוסר יציבות של המכשיר או אפילו לכשל מערכת מוחלט המכונה בריקינג. בעוד שיכולות אלו פותחות אפשרויות חדשות, הן גם מציגות סיכונים משמעותיים, מה שהופך את הרוטינג לחרב פיפיות הן עבור משתמשים והן עבור בודקים.
הסבר על מכשירים שאינם מבוססי רוט
מכשיר שאינו מבוסס על רוט הוא סמארטפון או טאבלט שפועל תחת מגבלות התוכנה המקוריות של היצרן והספק, וזהו מצב ברירת המחדל עבור הרוב המכריע של מכשירי אנדרואיד.
מאפייני מפתח כוללים:
- יישומים נמצאים בארגז חול, מה שמונע גישה בלתי מורשית לקבצי מערכת.
- ההרשאות נשלטות באמצעות הנחיות משתמש ומגבלות מחמירות ברמת המערכת.
- עדכונים ותיקונים מנוהלים באופן עקבי דרך ערוצי הספק הרשמיים.
- שכבות האבטחה נשארות שלמות, ומגנות על המכשיר מפני תוכנות זדוניות, פרצות ושינויים לא מורשים.
מנקודת מבט של אבטחת איכות, מכשירים שאינם מבוססי Root מייצגים את הסביבה הריאליסטית ביותר, שכן רוב משתמשי הקצה ישמרו על המכשירים שלהם במצב זה. הם מספקים בסיס יציב לבדיקות ביצועים, אבטחה ושימושיות, ומבטיחים שהתוצאות תואמות את תנאי המשתמש האמיתיים. מכיוון שמכשירים אלה שומרים על שלמות באמצעות עדכונים רשמיים, בודקים יכולים לאמת את התנהגות האפליקציה בביטחון, בידיעה שהמערכת לא טופלה. בעוד שמכשירים מבוססי Root עשויים לאפשר תובנות עמוקות יותר לגבי ניפוי שגיאות או התאמה אישית, מכשירים שאינם מבוססי Root מגדירים בסופו של דבר את התנאים הסטנדרטיים שרוב היישומים ייתקלו בהם בתהליך הייצור.
למה רוטינג חשוב לאבטחת איכות ובדיקות
עבור בודקים, רוטינג חשוב משום שהוא משנה את האופן שבו אפליקציות מקיימות אינטראקציה עם מערכת ההפעלה, ולשינוי זה יכולות להיות השלכות רחבות היקף. תכונות שעובדות מצוין במכשיר שאינו מופעל על ידי רוט עשויות להתנהג בצורה בלתי צפויה במכשיר מופעל על ידי רוט, מה שמכניס סיכונים הן ליציבות והן לאבטחה. באופן דומה, בדיקות אבטחה המובנות באפליקציות עלולות להיכשל, או אפילו לסרב לפעול לחלוטין, כאשר מתגלה סביבת רוט.
השלכות נפוצות כוללות:
- עקיפת בקרות אבטחה. אפליקציות מסוימות מסרבות לפעול על מכשירים עם מערכת root, במיוחד אפליקציות בנקאיות, תשלומים ואבטחה ארגונית.
- גישה משופרת לאיתור באגים במכשירים מבוססי Root מאפשרת לבודקים לנטר יומני רישום ברמת המערכת, לשנות הגדרות ולשכפל תנאים שאינם זמינים במכשירים סטנדרטיים.
- שונות של ROM מותאם אישית עם שילובי ליבות, ROM ושילובי קושחה שונים, הביצועים יכולים להשתנות באופן משמעותי בין מכשירים מורשים.
- בדיקת הרשאות - מכשירים עם Root מאפשרים בדיקה מעמיקה יותר של האופן שבו אפליקציות מטפלות בהרשאות, כולל תכונות רגישות כמו גישה למצלמה, SMS או אחסון.
עבור צוותי אבטחת איכות, חיוני לבצע בדיקות על שני סוגי המכשירים כדי להבטיח ביצועים עקביים, לזהות פגיעויות פוטנציאליות ולזהות מקרי קצה שעלולים לגרום לחוסר שביעות רצון של המשתמשים או אפילו לכשלים במערכת בשטח.
שיקולי ביטחון
התקנים שורשים
רוטינג מחליש את מודל האבטחה המובנה של אנדרואיד, ועל ידי מתן גישת סופר-משתמש, אפליקציות זדוניות מקבלות את היכולת לנצל פגיעויות, לגשת למידע רגיש ולשנות קבצי מערכת. עבור בודקים, סביבה זו יוצרת אתגרים כגון:
- סיכון מוגבר להפרעות תוכנות זדוניות במהלך הבדיקה.
- קושי בשכפול תנאי משתמש בעולם האמיתי מכיוון שרוב הצרכנים אינם בעלי מערכת הפעלה רוטית.
- חוסר יכולת להבטיח את שלמות הנתונים אם הסביבה נפגעת.
מעבר לנקודות אלו, מכשירים עם גישה לרשת (rooted) עלולים גם להשבית תכונות אבטחה חשובות כמו אתחול מאומת או הצפנה, מה שמקל על תוקפים להחדיר קוד זדוני. זה יוצר תנאים בלתי צפויים עבור אנשי מקצוע בתחום אבטחת איכות, מכיוון שתוצאות המתקבלות בסביבה כזו עשויות שלא לשקף את אופן התנהגות האפליקציה בתנאים מאובטחים ולא מבוססי גישה לרשת.
מכשירים שאינם מבוססי רוט
מכשירים שאינם מבוססי Root שומרים על הגנות ברירת מחדל חזקות יותר, ו-sandboxing מונע מאפליקציות להפריע זו לזו תוך הבטחת פרטיות הנתונים. עבור בדיקות, זה מספק בסיס יציב עם תוצאות צפויות. צוותי QA יכולים להתמקד בביצועים, פונקציונליות וחוויית משתמש מבלי לדאוג לגבי שיבוש חיצוני של המערכת. בנוסף, מכשירים שאינם מבוססי Root מקבלים עדכונים ותיקונים שוטפים מיצרנים, מה שמפחית את החשיפה לפגיעויות ידועות. עבור בודקים, משמעות הדבר היא שהתוצאות אמינות יותר, וניתן לאמת מקרי בדיקה הקשורים לאבטחה בסביבה המשקפת את תנאי העולם האמיתי שרוב המשתמשים חווים מדי יום.
גורמי ביצוע
רוטינג יכול גם לשפר וגם לפגוע בביצועים בהתאם לשינויים שבוצעו.
- רווחי ביצועים: ROMs מותאמים אישית עשויים להציע ליבות אופטימליות, עדכונים מהירים יותר והפחתת תוכנות נפיחות, מה שמוביל לביצועים חלקים יותר. משתמשים יכולים גם לכוונן את הגדרות המעבד והכרטיס הגרפי, לנהל את הקצאת הזיכרון בצורה יעילה יותר, ואף להאריך את חיי הסוללה על ידי שליטה בתהליכים ברקע. יתרונות אלה יכולים ליצור חוויה רספונסיבית ביותר עבור משתמשים מתקדמים.
- הפסדי ביצועים: ROMs בעלי קידוד לקוי, ליבות לא יציבות או שינויים מוגזמים במערכת עלולים לגרום להשהייה, קריסות, התחממות יתר והקצאת משאבים לא עקבית. במקרים מסוימים, הביצועים עלולים להידרדר עד כדי כך שהמכשיר יהפוך לבלתי שמיש למשימות יומיומיות.
לעומת זאת, מכשירים שאינם מבוססי רוט (rooted) פועלים בדרך כלל במסגרת מגבלות אופטימליות שנקבעו על ידי היצרן. בעוד שהביצועים עשויים שלא להגיע לרמות השיא של חלק מה-ROM המותאמים אישית, הם הרבה יותר עקביים, אמינים ובטוחים למטרות בדיקה. זה הופך מכשירים שאינם מבוססי רוט לחיוניים בסביבות QA, מכיוון שהם מספקים מדדי ביצועים יציבים למדידת מהירות, תגובה ויעילות בתנאי משתמש אופייניים.
הרשאות והתנהגות אפליקציות
במכשירים שאינם בעלי מערכת הפעלה Rooted, אפליקציות חייבות לבקש הרשאות כמו מיקום, אנשי קשר או אחסון, והמשתמשים חייבים להעניק גישה במפורש. מכשירים בעלי מערכת הפעלה Rooted משנים את הדינמיקה הזו באופן דרמטי:
- אפליקציות רוט יכולות לעקוף דיאלוגי הרשאה סטנדרטיים.
- אפליקציות עשויות להתנהג בצורה בלתי צפויה אם ניתנות להן הרשאות ברמת המערכת.
- הרשאות רגישות כמו גישה ל-SMS או למצלמה עשויות לתפקד בצורה שונה בהשוואה לסביבה רגילה.
עבור בודקי QA, משמעות הדבר היא שעליהם לאמת שטיפול בהרשאות נותר מאובטח וידידותי למשתמש הן בהקשרים מרוטים והן בהקשרים שאינם מרוטים.
תפקיד בדיקות אפליקציות מובייל
כדי לגשר על הפער בין סביבות מבוססות לסביבות שאינן מבוססות על מערכות גישה, בודקים זקוקים למתודולוגיות מובנות וכלי אוטומציה. מסגרות אוטומטיות יכולות לסייע בסימולציה של תנאים מרובים, ובכך להפחית את הצורך לבצע גישה ידנית למכשירים עבור כל תרחיש. פלטפורמות בדיקת אפליקציות מובייל מתקדמות כמו testRigor מאפשרות לצוותים:
- בדיקת אפליקציות במגוון רחב של גרסאות אנדרואיד וסוגי מכשירים.
- אוטומציה של בדיקות פונקציונליות ורגרסיה כדי לאמת תכונות.
- הדמיית אינטראקציות אמיתיות של משתמשים ואימות זרימות הרשאות.
- שלב בדיקות אבטחה ותאימות בצינור תהליך האבטחה.
גישה הוליסטית זו מבטיחה שגם אם סביבות מבוססות רשת (rooted) יכניסו שונות, אפליקציות יישארו יציבות ומאובטחות עבור רוב המשתמשים.
שיטות עבודה מומלצות לצוותי QA
- בדיקה על שני סוגי המכשירים: תמיד יש לכלול לפחות מכשיר אחד עם רשת ומכשיר אחד ללא רשת במטריצת הבדיקה שלך.
- מתן עדיפות לבדיקות שאינן מבוססות רוט: מכיוון שרוב משתמשי הקצה נותרו ללא רוט, יש לתעדף מכשירים אלה כהכנה לשחרור.
- אימות תכונות אבטחה: ודא שהאפליקציה מתנהגת כראוי בזיהוי סביבות מושרשת במידת הצורך.
- מעקב אחר מדדי ביצועים: השווה את צריכת הסוללה, המעבד והזיכרון בין שני סוגי המכשירים.
- אוטומציה היכן שניתן: השתמש במסגרות אוטומציה כדי להפחית מאמץ ידני ולהגדיל את הכיסוי.
- חשבון עבור ROMs מותאמים אישית: בדוק על ROMs מותאמים אישית פופולריים כמו LineageOS כדי ללכוד תרחישי קצה.
- המשך לבדוק באופן מציאותי: הימנעו מהסתמכות אך ורק על מכשירים מבוססי-root לצורך ניפוי שגיאות, מכיוון שהתוצאות עשויות שלא לייצג את העולם האמיתי.
עתיד הרוטינג והבדיקות
ככל שאנדרואיד ממשיך להתפתח, אפליקציית רוטינג הופכת פחות נפוצה בקרב משתמשים רגילים. תכונות אבטחה משופרות כמו SafetyNet ו-Play Integrity API כבר מגבילות מכשירים רבים עם גישה לשירותים מסוימים. עם זאת, עבור מפתחים ובודקים, רוטינג יישאר כלי חשוב לאיתור שגיאות ולאימות ברמת המערכת. עתיד האבטחה טמון באיזון בין שני העולמות. על ידי אימוץ אסטרטגיית בדיקות מקיפה למובייל, בודקים יכולים להבטיח שהאפליקציות שלהם יעבדו בצורה אמינה עבור רוב המשתמשים שאינם עם גישה לאפליקציה, תוך הכנה גם לקבוצה קטנה של מכשירים עם גישה לאפליקציה.
סיכום
מכשירים עם Root ומכשירים שאינם עם Root מציגים סביבות שונות להתנהגות, ביצועים ואבטחה של אפליקציות. בעוד שמכשירים שאינם עם Root מספקים יציבות וריאליזם, מכשירים עם Root מאפשרים גמישות מעמיקה יותר בבדיקה ובניפוי שגיאות. עבור בודקים, המפתח טמון באיזון בין שתי סביבות אלו. על ידי שילוב שיטות בדיקה מובנות של אפליקציות מובייל ומינוף פלטפורמות אוטומציה מודרניות, צוותי QA יכולים להבטיח שאפליקציות מספקות חוויות מאובטחות, חלקות ובעלות ביצועים גבוהים לכל המשתמשים.
