спасибо попробую

первый раз ковыряю, интересное занятие оказывается)) приложение - прокат самокатов, сейчас поездок себе бесплатных организую ^_^

а потом к более сложным вещам…таксометры всякие)

А потом дяденьки в погонах)

Я тут немного добрым делом занимаюсь и в процессе у меня возник вопрос: я никакогда не отдавал токены менеджеру пальца, а отдавал ему нечто, чем шифровал токен, а зашифрованный токен держал отдельно. Собственно, сам вопрос: зачем? Я так понимаю, нету векторов атаки которые бы дали юзеру мой крипто-объект хранимый пальцем, но, при этом, мешающий ему забрать мой зашифрованный токен хранимый локально. Имеет ли это смысл? Обращу внимание, вопрос про хранение на устройстве, для примера, у нас гаражное приложение "зашифрованные заметки", который работает чисто на клиенте.

Шутку про товарища майора уже шутили тут? =)

шутили, шутили))

Да-да, как договаривались =)

Друзья, добрый день. Пытаюсь заенфорсить использование https в network_security_configuration. Поскольку есть необходимость поддерживать API ниже 24, то заюзал TrustKit (https://github.com/datatheorem/TrustKit-Android), там обещают свою безопасности  хождения в сеть для апи ниже 24.

У меня в конфиге прописан cleartextTrafficPermitted="false". Использую OkHttp клиент в который передан sslSocketFactory таким образом как указано в документации по трасткиту на гитхабе. На API 24 и выше, всё работает отлично, однако на предыдущих я всё равно могу обратиться к бэкенду по HTTP.

Подскажите пожалуйста, что у меня сделано не так? Нужно вставлять что-то специфическое в trustkit-config? Или как то отдельно что то инициализировать?

Заранее спасибо за любую полезную информацию

Не вижу в возможностях библиотеки запрет хождения по http

В поиске по коду так же не нашел

Хм, получается что параметр cleartextTrafficPermitted обрабатывается самой осью и ниже 24 апи с ним ничего не наколдовать?

А вам зачем? Можно сделать interceptor okhttp который будет смотреть протокол и кидать эксепшен

Вообще, просто хотел чтобы конфиги лежали в одном месте и заиспользовать именно их. Решение с интерсептором - интересно, спасибо. Думаю если не получится настроить trustkit, сделаю так

Более того, он не является обязательным к выполнению. Скорее, это выражение желания использовать только https

Можно форкнуть либу и добавить функционал

что за нет сниффер в лекции?

Слайд?