Size: a a a

2019 September 12

IK

Igor Komarov in Android Guards
Александр Гузенко
Ну вот, исследователи нашли интересную уязвимость в SIM Application Toolkit, из-за которой часть данных, полученных в виде СМС могут быть выполнены как код на процессоре в сим-карте. И это вообще не смешно, потому что так например можно заставить твой телефон выслать злоумышленнику твою примерную геолокацию, послать от тебя кому-то смс, попытаться получить кусок памяти телефона и тд. Короче история неприятная, удивительно что такие опасные штуки появляются в настолько старой и проверенной подсистеме как сим-карты https://simjacker.com/
Видел, более того, можно и к zygote контексту получить доступ невозбранно на старых телефонах создав свой терминал. Народ веселился, тоже где-то отчёт видел, читал. Но мне интересно не это :)

Мне нужно конкретно описание, что мне делать в случае, если речь идёт о Carrier privileges для SAM в СИМ-слоте.
источник

А

Александр Гузенко in Android Guards
Думаю это очень узкая тема и за ее мало кто шарит, поэтому тебе тут так долго не отвечают)
источник

PC

Pavel Chmykh in Android Guards
Интересно уязвима ли USIM
источник
2019 September 13

IK

Igor Komarov in Android Guards
Pavel Chmykh
Интересно уязвима ли USIM
Что именно вы под этим подразумеваете? В случае загрузки терминалов – уязвима платформа в целом, конкретики по СИМ не требуется. Или вы про эксплоит который коллега в ссылке отправил постом выше?
источник

PC

Pavel Chmykh in Android Guards
Igor Komarov
Что именно вы под этим подразумеваете? В случае загрузки терминалов – уязвима платформа в целом, конкретики по СИМ не требуется. Или вы про эксплоит который коллега в ссылке отправил постом выше?
Интресно уязвилма ли технология USIM, в статье указываеться что только sim
источник

IK

Igor Komarov in Android Guards
Александр Гузенко
Думаю это очень узкая тема и за ее мало кто шарит, поэтому тебе тут так долго не отвечают)
Увы, да. Завтра буду смотреть, получится ли у меня через TelephonyManager гонять именно на SAM APDU. Если да – наверное этого мне и хватит. Если нет – обидно конечно будет.
источник

IK

Igor Komarov in Android Guards
Pavel Chmykh
Интресно уязвилма ли технология USIM, в статье указываеться что только sim
А, ну да, по ссылке. Ок
источник

U

Uvays in Android Guards
Всем привет!
Читал данную статью - https://habr.com/ru/post/423753/ и появились некоторые вопросы.
Android Keystore поддерживает AES шифрование только с api 23, получается есть только возможность использовать ассиметричное шифрование RSA на версиях ниже. Сразу скажу, у меня знаний по криптографии очень мало) Так вот, я думал, что если использовать вообще только RSA тогда, чем заниматься каким то мигрированием после обновлений или logout пользователя, что вообще не очень. Сильно ли я проигрываю использовав RSA вместо AES?
источник

U

Uvays in Android Guards
Читал где-то что RSA в разы медленее AES, но я ведь только использую это для шифрования токена. Так что вопрос скорее только про безопастность алгоритма
источник

c

cyber in Android Guards
если коротко то не варик
источник

c

cyber in Android Guards
до 23 тебе нужно сгенерить aes ключ и зашифровать его RSA ключом из кейстора
источник

U

Uvays in Android Guards
cyber
до 23 тебе нужно сгенерить aes ключ и зашифровать его RSA ключом из кейстора
Окей, спасибо!
источник

U

Uvays in Android Guards
cyber
если коротко то не варик
а если чуть по подробнее, то в чем проблема использования чисто RSA?
источник

NK

Nikita Kuklin in Android Guards
использование кейстора для шифрования - верх безопасности?
источник

R

Rtem in Android Guards
Nikita Kuklin
использование кейстора для шифрования - верх безопасности?
Какие ваши варианты? =)
источник

NK

Nikita Kuklin in Android Guards
да никаких, я как раз 9 сентября пытался узнать в этом чате достаточно ли кейстора для сохранности данных) т.е. сгенерив ключ в кейсторе и шифруя им всё в префах - это гарантирует безопасность данных? Я понимаю чтов  теории к кейстору только моя апликуха имеет доступ, но не уверен так ли это по факту
источник

R

Rtem in Android Guards
Nikita Kuklin
да никаких, я как раз 9 сентября пытался узнать в этом чате достаточно ли кейстора для сохранности данных) т.е. сгенерив ключ в кейсторе и шифруя им всё в префах - это гарантирует безопасность данных? Я понимаю чтов  теории к кейстору только моя апликуха имеет доступ, но не уверен так ли это по факту
Это лучшее, что у тебя есть на андройде по сути
источник

R

Rtem in Android Guards
Более надежного хранилища нам не завезли )
источник

R

Rtem in Android Guards
Но оно тоже не без проблем
источник

R

Rtem in Android Guards
В блоге Еленкова про это есть
источник