В Android довольно гибкая система разрешений: при установке приложение запрашивает у операционной системы доступ к необходимым ему возможностям устройства. Правда, на этом этапе у пользователя всего два варианта действий: согласиться с условиями и установить приложение или отказаться и не устанавливать. В дальнейшем приложениям можно запретить выводить уведомления, если они злоупотребляют этой функцией, и на этом стандартные возможности управлять разрешениями заканчиваются. Остаются только нестандартные.

Для более гибкой настройки разрешений можно использовать скрытую функцию Android под названием AppOps. Доступ к ней осуществляет с помощью одноименного приложения из Google Play. Оно совместимо с устройствами на Android 4.3 и 4.4, root-доступ ему не требуется. Фактически, это просто ярлык, который открывает настройки разрешений.

В AppOps показан список всех установленных приложений и предоставленные им разрешения. При желании любое из разрешений можно отозвать: для этого нажмите на переключатель, чтобы он перешел в позицию OFF и стал серым.

Зачем Яндекс.Диску столько разрешений, которые все равно он никогда не использует? Отключаем. Но еще хуже, когда приложения используют разрешения, которые им не нужны: определяют местоположение, читают буфер обмена, обращаются к списку контактов и тому подобное. Это расходует процессорное время и негативно сказывается на времени автономной работы устройства. Отключаем.

К сожалению, AppOps не умеет запрещать приложениям использовать интернет. Для этого можно установить антивирус с фаерволом, как вариант — бесплатный Avast.

В настройках брандмауэра Avast! указываете, каким приложениям разрешено использовать интернет Wi-Fi, 3G и GPRS, все остальные соединения будут запрещены. 

Брандмауэру Avast требуется root-доступ к файловой системе, на устройствах без него можно использовать, например, приложение «Фаервол без root-прав» или Mobiwol. Они работают по одному принципу: создают VPN-соединение, и при попытке какого-либо приложения обратиться в интернет спрашивают пользователя, можно ли это сделать. В настройках правил файервола у любого приложения можно отнять доступ к сети. История установленных соединений записывается в лог.