Giải thích quyền APK Android (Danh sách đầy đủ 2026)

Quyền Android là những khả năng mà hệ thống cấp cho ứng dụng, như truy cập camera, danh bạ hoặc SMS. Ứng dụng khai báo chúng trong manifest và Android thực thi chúng. Các quyền nguy hiểm cần sự đồng ý của bạn. Các nhóm và mức rủi ro của chúng quyết định ứng dụng có thể biết và làm được nhiều đến đâu.

Bởi Abdul Emam, người kiểm thử APK tại ApkZena. Tôi lập danh mục quyền của 40 APK cài ngoài cửa hàng trong tháng 8 và tháng 9 năm 2026. Bốn quyền rủi ro nhất — SMS, accessibility, device admin và overlay — xuất hiện trong mọi mẫu độc hại tôi giữ lại. Hướng dẫn này chính là tài liệu tham khảo tôi dùng.

Bạn liên tục thấy các tên quyền và muốn biết quyền nào quan trọng, quyền nào routine. Đó là câu hỏi đúng. Tôi đã chứng kiến một ứng dụng utility âm thầm yêu cầu admin access và từ chối kịp thời. Tôi hứa đưa một danh sách phân nhóm rõ ràng với ý nghĩa dễ hiểu. Bạn sẽ học được các nhóm, danh sách đầy đủ, quyền nào nguy hiểm, các mô hình lạm dụng và cách quản lý chúng.

Quyền Android là gì?

Quyền Android là cách hệ thống giới hạn những gì ứng dụng có thể làm. Mọi khả năng đều có tên, được khai báo và được thực thi. Ứng dụng không thể dùng tính năng nó không khai báo, và không thể dùng quyền nguy hiểm nếu không có sự đồng ý của bạn.

Vì sao ứng dụng cần chúng

Ứng dụng cần quyền để hoạt động: ứng dụng camera cần camera, ứng dụng nhắn tin cần danh bạ, bản đồ cần vị trí. Mô hình quyền cho phép ứng dụng làm việc của nó mà không trao mọi thứ. Câu hỏi không bao giờ là ứng dụng có quyền hay không, mà là mỗi quyền có phù hợp với mục đích của ứng dụng hay không.

Android thực thi chúng thế nào

Android kiểm tra quyền ở mức hệ thống, không bên trong ứng dụng. Nghĩa là quyền bị từ chối sẽ chặn khả năng đó kể cả khi mã của ứng dụng cố dùng. Ứng dụng khai báo quyền trong AndroidManifest.xml, và hệ thống cấp quyền theo nhóm và mức rủi ro. Google mô tả mô hình này trong tổng quan về quyền.

Giải thích các nhóm quyền

Android sắp xếp quyền vào bốn nhóm, quyết định cách chúng được cấp và mức độ bạn nên xem xét kỹ.

Quyền bình thường

Quyền bình thường bao gồm các hành động rủi ro thấp và được cấp khi cài mà không hiện hộp thoại. Ví dụ gồm truy cập internet, rung và đặt báo thức. Chúng hiếm khi cần xem xét, dù truy cập internet luôn quan trọng vì nó cho phép tải lên.

Quyền nguy hiểm

Quyền nguy hiểm đụng tới dữ liệu riêng tư và tính năng thiết bị. Android xin sự đồng ý của bạn, thường ngay lần dùng đầu. Camera, mic, vị trí, danh bạ, lịch, SMS, nhật ký cuộc gọi, bộ nhớ và hoạt động nằm trong nhóm này. Đây là những quyền phải đọc từng dòng.

Quyền signature

Quyền signature chỉ được cấp cho ứng dụng ký bằng cùng khóa với ứng dụng định nghĩa chúng, hoặc bằng khóa nền tảng. Các APK thường không thể giữ chúng. Sự hiện diện của chúng cho thấy người ký chung với một thành phần hệ thống hoặc framework, điều hiếm thấy ở ứng dụng cài ngoài cửa hàng.

Quyền đặc biệt

Quyền đặc biệt rất mạnh và được cấp ngoài luồng hộp thoại thông thường. Chúng gồm accessibility service, device admin, overlay, usage access, install unknown apps và miễn trừ tối ưu pin. Kẻ tấn công nhắm tới các quyền này vì chúng cho phép đọc màn hình, cài lại và kiểm soát thiết bị.

Danh sách đầy đủ quyền Android

Danh sách này bao gồm các quyền bạn gặp thường nhất trong một APK cài ngoài cửa hàng, phân nhóm theo thứ chúng đụng tới. Dùng nó để đọc manifest nhanh.

Lịch và danh bạ

Quyền lịch đọc và ghi sự kiện. Quyền danh bạ đọc sổ địa chỉ và có thể sửa nó. Cả hai đều hợp lý với ứng dụng lịch, mail và nhắn tin, và đáng ngờ trong một game hay gói giao diện.

Camera và mic

Quyền camera chụp ảnh và quay video. Quyền mic ghi âm. Cả hai đều quan trọng vì chúng có thể chạy nền trên một số bản build. Một ứng dụng ghi chú có quyền mic cần có lý do, còn một game giải đố có quyền camera thì không.

Vị trí

Vị trí dao động từ xấp xỉ tới chính xác, và vị trí nền theo dõi bạn liên tục. Bản đồ và ứng dụng gọi xe cần nó. Đèn pin hay máy tính bỏ túi thì không. Vị trí nền là phiên bản phải để ý, vì nó tiếp tục hoạt động khi ứng dụng đã đóng.

Điện thoại, SMS và nhật ký cuộc gọi

Quyền điện thoại đọc trạng thái thiết bị và cuộc gọi. SMS đọc và gửi tin nhắn, gồm mã dùng một lần. Nhật ký cuộc gọi đọc và sửa lịch sử. SMS rủi ro nhất trong ba quyền này vì nó mở đường cho lừa đảo tin nhắn phí cao và chặn mã. Ứng dụng nhắn tin và ngân hàng có thể cần nó. Hầu hết các ứng dụng khác thì không.

Bộ nhớ và tệp

Quyền bộ nhớ đọc và ghi tệp. Trên Android 11 trở lên, scoped storage giới hạn quyền truy cập vào media và các thư mục cụ thể. Trình quản lý tệp và trình biên tập cần nó. Ứng dụng không xử lý tệp thì không cần bộ nhớ rộng, nên hãy coi yêu cầu đó là thừa.

Cảm biến, cảm biến cơ thể và hoạt động

Cảm biến bao gồm chuyển động và hướng của thiết bị. Cảm biến cơ thể bao gồm nhịp tim và cảm biến sức khỏe. Hoạt động thể chất bao gồm bước chân và chuyển động. Ứng dụng fitness và AR dùng chúng. Một game giải trí thông thường có cảm biến cơ thể là mẫu cần nghi vấn.

Thiết bị gần đó và Bluetooth

Thiết bị gần đó cho phép ứng dụng tìm và kết nối các thiết bị quanh bạn qua Bluetooth và Wi-Fi. Bluetooth là dạng cũ và hẹp hơn. Ứng dụng âm thanh, thiết bị đeo và truyền tệp dùng chúng. Ứng dụng hình nền thì không.

Thông báo, accessibility, device admin và overlay

Thông báo đăng cảnh báo. Ba quyền còn lại là đặc biệt và mạnh. Accessibility đọc màn hình, device admin khóa và xóa, còn overlay vẽ đè lên ứng dụng. Đây là những quyền cần chậm lại mà xem xét, như hướng dẫn công cụ kiểm tra quyền giải thích.

Install unknown apps, usage access, tối ưu pin

Install unknown apps cho phép ứng dụng cài APK khác. Usage access lộ ra bạn dùng ứng dụng nào và khi nào. Miễn trừ tối ưu pin cho phép ứng dụng chạy mà không bị tạm dừng. Mỗi quyền đều hợp lý với một tập hẹp ứng dụng và rủi ro ở hầu hết nơi khác.

Những quyền nào là nguy hiểm?

Một quyền là nguy hiểm khi nó lộ dữ liệu riêng tư hoặc quyền kiểm soát thiết bị. Nền tảng Android gắn nhãn chúng, và mức rủi ro cho biết bạn cần chậm lại bao nhiêu.

Mức rủi ro

Rủi ro thấp gồm cảm biến và thông báo. Trung bình gồm camera, danh bạ, lịch và Bluetooth. Cao gồm SMS, nhật ký cuộc gọi, vị trí, bộ nhớ và usage access. Nghiêm trọng gồm accessibility, device admin, overlay và install unknown apps. Nhóm nghiêm trọng cần được soi xét kỹ nhất.

Khi nào một quyền là hợp lý

Một quyền là hợp lý khi chức năng cốt lõi của ứng dụng cần nó và ứng dụng giải thích lý do. Ứng dụng nhắn tin cần danh bạ và SMS. Trình quản lý tệp cần bộ nhớ. Ứng dụng quét cần camera. Chức năng và quyền phải khớp nhau mà không cần gượng ép.

Khi nào nên từ chối

Từ chối khi quyền không phù hợp với chức năng, khi ứng dụng không giải thích yêu cầu, hoặc khi quyền thuộc nhóm nghiêm trọng mà ứng dụng chỉ là ứng dụng thường. Bắt đầu bằng từ chối, rồi chỉ cấp những gì ứng dụng chứng minh là cần. App Manager và Cài đặt làm việc này rất dễ.

Các mô hình lạm dụng quyền thường gặp

Lạm dụng thường thể hiện sự không khớp giữa ứng dụng là gì và nó yêu cầu gì. Bốn mô hình dưới đây là những gì tôi gặp nhiều nhất.

Ứng dụng hình nền yêu cầu SMS

Ứng dụng hình nền không có lý do đọc hay gửi tin nhắn. Cấp SMS ở đây mở đường cho lừa đảo tin nhắn phí cao và đánh cắp mã dùng một lần. Chỉ sự không khớp thôi đã đủ để gỡ cài đặt.

Game yêu cầu danh bạ

Game đơn lẻ không cần sổ địa chỉ của bạn. Quyền danh bạ cho phép ứng dụng thu thập tên và số điện thoại cho spam và lừa đảo. Nếu một game yêu cầu danh bạ mà không giải thích được, hãy từ chối và theo dõi dấu hiệu malware.

Máy tính bỏ túi yêu cầu vị trí

Máy tính bỏ túi không có lý do biết bạn ở đâu, nói chi là chạy nền. Vị trí trong một ứng dụng utility là mẫu thu thập dữ liệu. Đây là sự không khớp kinh điển xuất hiện trong các bản repack.

Ứng dụng utility yêu cầu device admin

Device admin cho phép ứng dụng xóa điện thoại. Đèn pin hay ứng dụng dọn dẹp không có lý do giữ sức mạnh đó. Một ứng dụng utility yêu cầu device admin là một trong những mô hình độc hại rõ ràng nhất tôi thấy.

Cách quản lý quyền

Bạn có thể cấp, từ chối và thu hồi quyền ở nhiều mức. Bắt đầu với Cài đặt, rồi đi sâu hơn chỉ khi cần.

Cài đặt Android

Mở Cài đặt, Ứng dụng, chạm vào ứng dụng rồi chọn Quyền. Bật những quyền bạn muốn ứng dụng có. Đây là giao diện hằng ngày và hầu hết mọi trường hợp. Tên đường dẫn hơi khác theo hãng, nhưng màn hình thì giống nhau.

Quyền theo từng ứng dụng

Kiểm tra theo từng ứng dụng là mô hình mặc định trên Android 6 trở lên. Mỗi ứng dụng có danh sách cấp quyền riêng, nên bạn có thể cho ứng dụng này vị trí và từ chối ứng dụng khác. Hãy xem nhóm nghiêm trọng theo từng ứng dụng thay vì tin một quy tắc chung.

Tự động thu hồi quyền không dùng

Trên Android 11 trở lên, ứng dụng không dùng sẽ tự động mất quyền sau vài tháng, và ứng dụng phải xin lại. Điều này giới hạn quyền truy cập dữ liệu lâu dài từ những ứng dụng bạn không còn mở. Nó bật sẵn theo mặc định và nên giữ nguyên.

Lệnh ADB

Để điều khiển theo script, ADB có thể thu hồi và cấp quyền. Chạy adb shell pm revoke com.example.app android.permission.CAMERA để thu hồi quyền camera, và adb shell pm grant để cấp quyền. Tài liệu ADB liệt kê các lệnh, còn hướng dẫn cài đặt bằng ADB hướng dẫn cách thiết lập.

Cách kiểm tra quyền trong một APK

Để xem trước khi cài, mở APK trong App Manager hoặc APK Analyzer trên Android, hoặc chạy aapt dump permissions app.apk trên PC. Danh sách khai báo nằm bên trong tệp, nên bạn đọc được mà không cần cài thứ gì. Phương pháp từng bước, gồm cả đọc manifest, nằm trong hướng dẫn kiểm tra quyền.

Hãy ghép kiểm tra quyền với kiểm tra người ký và quét tệp. Một sự không khớp quyền nhưng người ký trùng và quét sạch thì rủi ro thấp hơn cùng sự không khớp đó trên một bản repack. Hãy xác minh chữ ký và SHA-256 của tệp trước khi cài.

Tiếp theo, mở App Manager, xem quyền của ba ứng dụng bạn vừa cài, và thu hồi bất kỳ quyền nào không khớp chức năng của ứng dụng, bắt đầu với SMS, accessibility, device admin và overlay.