Сейчас практически все мобильные приложения, которые хоть как-то оперируют важной для пользователя информацией, защищены паролем и, для удобства использования, pin-кодом.

Но вечный вопрос безопасности и удобства, какую длину pin-кода выбрать,чтобы было и удобно и безопасно? И нужно ли запрещать использование простых кодов, вроде 0000?

Наткнулся на интересное исследование, которое пытается эти вопросы разрешить 🤓 Ребята проверили, какой список запрещенных пинов использует Apple, соорудив конструкцию из айфона, лего и распберри с камерой, и как подобные списки влияют на безопасность.

Выводы очень неоднозначные, но точно интересные. Согласно результатам исследования, использование 6-значных pin-кодов вместо 4-значных практически не повышает безопасность и более того, может даже снизить ее. В статье можно скачать само исследование, все участвовавшие черные списки, а так же посмотреть выступление.

#Pin #Security #Research

https://this-pin-can-be-easily-guessed.github.io/

Вот тут писал про исследования пинов и какие блэклисты в Эппл)

Гляну. Спасибо!

Sql cipher, для экстрималов-извращенцев AES шифрование данных внутри базы.
Хранение всех ключей в ndk. В общем, ничего нового)

гы) аеs ключи достать изи

Естественно, если они не в ndk

поф где они

давай апк продемонстрирую

АПК не дадут, могу скинуть .so

И естественно, внутри .so ключ не хранится в открытом виде

тогда уж .so в сpp их вообще не напрягаясь найдешь

Как?)

да это пофиг. есть вход (запрос ключей) и выход (возвращение результатов) Даже не надо напрягаться с расшифровкой, перехватываешь вызов в либу и смотришь что она вернула

вот тебе и ключи...

А как быть когда шифрования фулл внутри

вот это интересный вопрос но тоже решаемый)

Совершенно верно, перехватываешь - и ключ на руках. Решение проблемы - передавать context приложения всякий раз, когда идет запрос ключа + проверка сигнатуры

ну и про JNI_OnLoad не забывать, там конечно же, тоже проверять сигнатуру приложения

Вот пример модуль хпосед https://github.com/ac-pm/Inspeckage на вкладке crypto покажет все твои ключи

Я знаю)
Примерно представляю как
Но никогда такое не делал😁😄