Size: a a a

2020 August 02

R

Rtem in Android Guards
Чат, а есть тут крутые пентестеры? 😉 Напишите мне в личку, есть тема =)
источник
2020 August 03

NK

ID:0 in Android Guards
Я как-то уже постил статьи из серии Modern Security in Android. Тут недавно вышла еще одна, на этот раз про биометрию. Из статьи вы узнаете:

🕵️‍♂️ Что такое  Spoof Acceptance Rate и почему это важно

🚀 Что BiometricPrompt уже 1.0.1, а значит ваши бородатые безопасники одобрят его применение 😉

🤝 Как прикрутить биометрию к вашему шифрованию

Статья небольшая, даже чай допить не успеете.

#4developers, #biometric

https://medium.com/@dinorahto/modern-security-in-android-part-4-495655c7d4fe
источник

KO

Ksenija Orlova in Android Guards
Здравствуйте!

Расшифровываю dangerous permissions и не могу точно определить действие таких разрешений:

none.used.ACCESS_FINE_LOCATION и none.used.ACCESS_COARSE_LOCATION

Скажите, пожалуйста, как правильно здесь интерпретировать none.used?

Гугление и информация из манифеста пока ничего толкового не дают(
источник

D

Daniil in Android Guards
Ksenija Orlova
Здравствуйте!

Расшифровываю dangerous permissions и не могу точно определить действие таких разрешений:

none.used.ACCESS_FINE_LOCATION и none.used.ACCESS_COARSE_LOCATION

Скажите, пожалуйста, как правильно здесь интерпретировать none.used?

Гугление и информация из манифеста пока ничего толкового не дают(
Просто невалидный пермишен
источник

KO

Ksenija Orlova in Android Guards
Daniil
Просто невалидный пермишен
спасибо
источник

А

Андрей in Android Guards
@xiunja это может быть кастомный пермишен
источник
2020 August 05

RC

Roman Chumachenko in Android Guards
Ребят, привет! Был вопрос на счёт эффективного шифрования sqlite базы на устройстве. Предлагали два варианта: шифровать данные каждой колонки (только записи) или шифровать всю базу разом.
В одном из чатов заклеимили первый способ небозопасным и "упрощающим жизнь криптоаналитикам".
Можете привести пример, как будут ломать в первом случае шифрование? Или дать ссылку на статьи с разборами
источник

D

Daniil in Android Guards
Roman Chumachenko
Ребят, привет! Был вопрос на счёт эффективного шифрования sqlite базы на устройстве. Предлагали два варианта: шифровать данные каждой колонки (только записи) или шифровать всю базу разом.
В одном из чатов заклеимили первый способ небозопасным и "упрощающим жизнь криптоаналитикам".
Можете привести пример, как будут ломать в первом случае шифрование? Или дать ссылку на статьи с разборами
источник

RC

Roman Chumachenko in Android Guards
Я бы ещё добавил условие: я прячу там данные не от пользователя, а от злоумышленника -> если телефон был с включенным дебагом и ушел, разве это не затык пользователя? Что думаете?
источник

RC

Roman Chumachenko in Android Guards
Спасибо, буду знакомиться
источник

R

Rtem in Android Guards
В статье рассказывают об откровенно тупых способах хранения ключей. Ну что, разве остались еще те, кто хардкодит ключи в приложении или генерирует их на соновании имени пакета? =) Отзовитесь если тут такие есть, я для вас запишу серию терапевтических роликов 😄

@RChumachenko расскажи подробнее о своем кейсе. Зачем тебе зашифрованная БД?
источник

R

Rtem in Android Guards
Даже не так. Зачем тебе вообще БД? Какие данные там будут храниться?
источник

RC

Roman Chumachenko in Android Guards
Криптокошелек. В зависимости от реализации, народ хранит там либо мастер-ключ (читай, сам кошелек) и ключи адресов, либо можно ключи адресов генерить по необходимости. Я храню мастер-ключи (несколько кошельков может быть), это все, что нужно шифровать. Ключ шифрования отдаю Android keystore
источник

RC

Roman Chumachenko in Android Guards
Ну и есть пачка информации относительно адресов, которая завязана на мастер-ключ, то есть вполне удобно иметь таблицу с foreign key
источник

R

Rtem in Android Guards
Roman Chumachenko
Криптокошелек. В зависимости от реализации, народ хранит там либо мастер-ключ (читай, сам кошелек) и ключи адресов, либо можно ключи адресов генерить по необходимости. Я храню мастер-ключи (несколько кошельков может быть), это все, что нужно шифровать. Ключ шифрования отдаю Android keystore
Ага. Тогда я бы рекомендовал тебе не просто хранить ключи в кейсторе, а еще и выводить их на основании данных от юзера. Т.е. тебе нужна KDF функция. В простом варианте можно юзать PBKDF2, но я бы рекомендовал Argon2. Благо, относительно недавно завезли биндинги под Android для него. Эта схема будет +- безопасной в случае если твою БД сопрут с девайса.  Перед Фридой эта схема все еще уязвима, но у тебя не будет этого вектора атаки, ибо он не имеет смысла. Теоретически данные могут угнать имея троян с рут-правами на девайсе, но это тоже не супер простой кейс.
источник

R

Rtem in Android Guards
Короче так или иначе улучшить безопасность твоего криптокошелька можно, но всегда можно найти какую-то лозейку и в случае с целевой атакой какой-нибудь из векторов может сработать
источник

R

Rtem in Android Guards
Ну и социальную инженерию никто не отменял
источник

RC

Roman Chumachenko in Android Guards
Rtem
Ну и социальную инженерию никто не отменял
Ну, защиту от дурака писать я в тз еще не видел)
источник

R

Rtem in Android Guards
Roman Chumachenko
Ну, защиту от дурака писать я в тз еще не видел)
Это ты видимо не работал с такими приложениями =)
источник

R

Rtem in Android Guards
Проблема с дураками в том, что их обманут, а завтра этот дурак пойдет и напишет на хабре какое у тебя говеное приложение и как его данные украли злые хакеры. И найдется куча “сочувствующих” кто залайкает эту статью
источник