а

Так cronet или chromium?)

есть место где всплывают сертификаты
это точно то место
но прикол что тот метод вызывается где то из нативной либы

Должны подтягиваться сертификаты из системы

Либо из джавы задаётся пининг

ну то что я нашел в пакете chromium
org.chromium.net
дальше походу уходит в нативну либу cronet

я сюда подсовывал своф сертификат
но после прилка переставала работать

пробовал подделать AndroidCertVerifyResult
но нет

Почему?

хз
думаю есть ещё какая то проверка в либе
или я что то не понимаю
уже не знаю куда смотреть

А почему ты решил что там есть пининг?

а что там?)

Тихо как-то в группе 😀 Предлагаю обсудить. Навеяно статьёй https://habr.com/ru/post/423753/, где автор (@NeonLost) писал, что пин нужно валидировать только на сервере. Думал, как можно проверять валидность пина локально на девайсе (для работы в оффлайн режиме, например), если будем шифровать данные ключём выведенным из пина, с помощью AES/CBC/NoPadding.
Пришёл к такой схеме:
1. Когда пользователь создал пин, мы выводим из него ключ (назовём его PinKey)
2. В это же время генерим ключ в Android KeyStore - AES или RSA, что позволяет Api level (KeyStoreKey)
3. Генерим рандом байты (Challenge)
4. Шифруем Challenge с помощью PinKey (PinEncryptedChallenge) и KeyStoreKey (KeyStoreEncryptedChallenge) и сохраняем в префы
5. Когда надо проверить пин (CandidatePinKey) локально расшифровываем KeyStoreEncryptedChallenge с помошью KeyStoreKey и получаем эталон Challenge. Расшифровываем PinEncryptedChallenge с помощью PinCandidateKey и получаем candidateChallenge. Сравниваем с эталоном - совпало CandidatePin - OK. Нет - NotOK.

Так как Challenge не зашит в приложении, реверсом его не достать и пин не забрутфорсить.

Такие мысли. Рабочая ли схема, или что-то упустил? Может какие подводные камни заметили?

Проблема в том, что пины легко перебрать

Какая бы схема не была

Мы 1-2 недели назад разбирали уже эту тему. Есть неплохой, рабочий способ как с этим бороться. Но там требуется схождение ряда условий.

М?

@NeonLost выдай @LionZXY строку =) Он тоже поупражнятся желает =)))

Суть, что если не знаешь какой результат ожидать после расшифровки, то и не узнаешь правильно ли ты подобрал пин или нет