READ_CONTACTSなしで電話帳から電話番号を取得する方法

ちょっと間が空きましたが、連載企画？として、このブログにてCAMERAパミッションなしに写真を取る方法とSEND_SMSパーミッションなしにSMSを送る方法をご紹介しました。知っている方は、知っていると思うのですが、パミッションがいるんじゃないか？と勘違いしやすい機能について解説しております。基本は同じで、ユーザの操作を介して他のアプリケーションからデータを取得する場合は、パーミッションはいらないということです。

no_read_contacts.png

今回の「READ_CONTACTSなしで電話帳から電話番号を取得する方法」については、ＱＲコードアプリ等で利用可能です。世の中には「連絡先をＱＲコードで表示するので、READ_CONTACTSパミッションが必要です」という理由を付けた、グレーゾーンアプリが存在します。今回説明する方法を使えば回避できますので、この理由は正しくありません。できればそのようなアプリはインストールしないようにする必要がありますし、作る立場ではREAD_CONTACTSを付ける必要がないのに付けてしまった！といった事がないように注意してください。

READ_CONTACTパーミッション

電話帳を参照するには、AndroidManifestにREAD_CONTACTパーミッションの利用宣言をする必要があります。

<uses-permission android:name="android.permission.READ_CONTACTS" />

READ_CONTACTSのprotection levelは、dangerousで、パーミッショングループは、PERSONAL_INFOです。このパーミッションを持っているアプリケーションは自由に電話帳を参照できるので、INTERNETパーミッションと組み合わせる事で端末内の電話番号を全て別のサーバーに送る事が可能です。
電話帳データは端末を持っている個人情報のみならず、友人、会社関係者等の電話番号が格納されているため、名簿販売目的のために収集されたり、電話帳に入っているデータから個人の属性である、男性か女性かおおよその年齢、職業まで類推可能なため、広告業者のターゲッティング広告目的で収集される事があります。
多くのマルウェアではこの電話帳データの収集を目的としているため、READ_CONTACTSが付いているアプリケーションはマルウェアと間違えられたり、ユーザがインストールを躊躇する事がありますので、なるべく付けないようにする事が必要です。

電話帳からデータ取得も電話帳アプリケーション自体のＵＩを一度経由する事でREAD_CONTACTパーミッションを利用宣言することなく、特定のユーザの情報（電話番号、メールアドレス等）を取得する事が可能です。

ACTION_GET_CONTENT

アクションにACTION_GET_CONTENT、タイプにPhone.CONTENT_ITEM_TYPEを設定し、startActivityForResultを利用してアクティビティを起動します。他にこのIntentに対応するアプリがない場合は電話帳アプリが起動し、電話帳内のデータ選択画面が表示されます。
ユーザがデータを選択すると、電話帳アプリは終了し、Intent発行したアプリケーションに制御が移ります。startActivityForResultでアクティビティの起動を行ったので、onActivityResultにて結果を受け取る事が可能です。

Intentにより起動された電話帳アプリ

contact_select.png

onActivityResulで受け取ったIntentから、getDataする事で選択したユーザのContent URIが取得できます。このURIは電話帳のコンテントプロパイダーへのURIそのもので通常は、READ_CONTACTパーミッションがないとアクセスできない物ですが、電話帳アプリはAndroid Security Book ７章コンテントプロパイダで解説をしたGrant-uri-permission機能を使用して、１回のみのアクセスを可能にしています。
アクセス可能なURIを取得した後は、getContentResolver.query()を利用してデータを取り出します。

READ_CONTACTパーミッションが必要ないパターンのソース

public void onClickActionGetContent(View view){Intent intent = new Intent(Intent.ACTION_GET_CONTENT);intent.setType(Phone.CONTENT_ITEM_TYPE);startActivityForResult(Intent.createChooser(intent, "Pick a Phone Data"),MY_REQUEST_CODE);}@Overrideprotected void onActivityResult(int requestCode, int resultCode, Intent data) {if(data != null){Uri uri = data.getData();if(uri != null){String[] projection = new String[]{Phone.DISPLAY_NAME,Phone.NUMBER};Cursor cur = getContentResolver().query(uri,projection,null,null,null);if(cur != null){cur.moveToFirst();String displayName = cur.getString(0);String number = cur.getString(1);Log.v(TAG,"displayName="+displayName);Log.v(TAG,"number="+number);}}}}

このように単に一人のユーザ情報を取得するだけであれば、READ_CONTACTSはパーミッション必要ありません。ユーザのデータをQRコードで表示するアプリ、他の人と近距離通信で電話番号を交換するアプリケーション等はREAD_CONTACTSパーミッションなしで実現可能です。

電話帳データの収集は現在とても問題になっています。くれぐれもマルウェアと間違われないようにREAD_CONTACTSパミッションを付けるときには最新の注意を払ってください。

ブログ内の関連する記事

Share on Tumblr
LINEで送る

コメント

コメントを投稿

このブログの人気の投稿

ドローンプログラミング体験教室を伊豆大島の小学校でしてきました

イメージ
最近このタオソフトウエアブログに、弊社杉山の伊豆大島記事がアップされています。彼は昨年から地域活性化企業人として、伊豆大島で仕事をしており通常業務をしておりますが、今回地域活性化企業人の企画第一弾として、ドローンプログラミング体験教室を行いました。（第二弾があるかはよくわかりません）。 コロナにより子供達は不自由な暮らしをしてきています。大人であれば行動制限は仕方のない事だと理解できるし、旅行やイベントはコロナ収まってから行けばよいやと納得も可能です。しかし子供達は修学旅行とか、運動会とか、その年代にしか体験できないイベントが多くあります。行動制限など納得できない事が多いと思います。しかも島という地理的特色により、他の地域の子供達より多く行動に制限がかかってしまっています。 そこで、少しでも子供たちに楽しんでもらえたらと思い、プログラミングとドローンを両方勉強できて、さらに楽しいというお得な、ドローンプログラミング教室を開催しました。 だって、ドローン飛ばすの楽しいですからね 開催目的 大島に住む小中学校の「IT」に対する興味や関心を高めたい。 新型コロナウイルスによる影響で色々な制限をうけている中、少しでも驚きや楽しみを味わってもらいたい。 開催情報 日時：８月２９日（月） １３：３０～１５：３０ 場所：椿小学校　体育館 対象：椿小学校６年生 参加費：無料 主催：大島町役場　総務課　電子研鑽係（地域活性化企業人制度） 講師：タオソフトウエア株式会社、 株式会社ナレッジエックス 当日 ドローンプログラミング教室は、大島の３つの小学校でそれぞれ行います。第一回目は、つばき小学校。正門がすごい立派で周りの木々も含めとても、趣がある小学校でした。８月２９日（月）は、大島町ではまだ夏休みで、人がほとんどいなかったのもあり、静寂に包まれた落ち着いた小学校で素敵でした。 つばき小学校正門 今回のイベントは、大島に赴任している地域活性化企業人が企画しましたが、大人向けのプログラミング教室ならともかく、子供にプログラミングを教えるのは、ちょっと荷が重いかなと思い、教育関係の仕事をしていて、タオソフトウエアの新人教育等にもお世話になったことのある、 株式会社ナレッジエックス さんをお誘いして一緒に授業を行う事にしました。 授業内容 ドローンについての一般知識座学 ドローンを飛ばしてみ...
続きを読む

iBatisで動的SQL

イメージ
iBatisで動的なSQLを発行する方法ですが、sqlMap.xmlの内容を編集するだけです。 以下に簡単な例をあげておきます。(sqlMap内のselectタグだけ記載しています) <select id=”getUser2″ resultMap=”resultUser”> SELECT ID AS id, NAME AS name FROM USER_TABLE <dynamic prepend=”WHERE”> <isGreaterThan property=”id” compareValue=”0″> ID=#id# <isGreaterThan> </dynamic> </select>
続きを読む

情報処理安全確保支援士登録証のカード型が届きました。

イメージ
情報処理安全確保支援士は、サイバーセキュリティ分野の日本国の国家資格ですが、本日登録証が届きました。 ２０２０年５月に制度見直しが入り、カード型の登録証が登場しました。 制度見直しについて： https://www.ipa.go.jp/siensi/kaisei.html 情報処理安全確保支援士の情報は、あまりネットに上がっていないので、情報共有です。 表 パット見て車の免許証みたい。いや保険証かな、年数によりグリーン、ブルー、ゴールドと色が変わるらしい。（ゴールドとか運転免許みたい）、でもこれって、せっかく作ったのに、今のデジタル庁云々の話の流れで、マイナンバーカードに統合されてしまい短い命なのではないかなと思ったりします。 カードの色について： https://www.ipa.go.jp/siensi/toberiss/index.html ※生年月日の部分だけ加工しました。 ※登録番号は、公開番号なので大丈夫です。 ※名前は、私の場合隠しても意味がないです 裏 「登録削除されたときは、この登録証を返納すること」の記載が気になりました。維持していくのに結構な金額がかかるので、講習等でお金を払うタイミングで、やめるかを決める事になるかと思いますが、カード返納するの忘れそう。 まとめ カードが届いて少し気分が上がりました。１枚のカードでしかないですが、セキュリティ関係もう少しアクティブに動くかなという気持ちになります。 情報処理安全確保支援士は、士業なのに、今のところあまりメリットがないと言われてきてますが、専業業務も少し出てきていますし、中の人も結構いろいろと頑張っているようです。私としては、これを持っていると、脆弱性チェックがしやすくなるように、不正アクセス禁止法がある程度緩和されると良いのになと思ってます。 ふと気が付けば、ここにブログ記事を書くのは２年ぶりでした。久しぶりすぎてログイン自体てこずりました。 Share on Tumblr Tweet
続きを読む