Телеграмм чат группы android

особенно когда другие члены команды NULL в этом... или несут ересь не разобравшись со всем

01:41пожаловаться #1

HD

H D in Android Guards

Ну да... нах тогда обфусцировать код, все равно же разматают) И всякие r8 и dexguard включать не надо... Итог один, разматают?

Если будет дорого ломать - есть смысл запариться. DexGuard с индайн rasp проверками и виртуализацией кода в нужных местах точно подарит ресерчеру как минимум несколько приятных недель

03:48пожаловаться #2

RC

Ну да... нах тогда обфусцировать код, все равно же разматают) И всякие r8 и dexguard включать не надо... Итог один, разматают?

Так, мухи отдельно, мясо отдельно - обфускация не содержит "секретных алгоритмов")

10:02пожаловаться #3

RC

Chadwick ☭

вопрос про время поиска алги... как вариант при каждом паблике приложения менять алгоритм...

Окей, допустим делаем "секретный алгоритм". Значит и серверу тоже на каждый релиз апликухи нужно подсовывать новый же алгоритм. А как быть с пользователями, кто не обновился? Форсить их экраном ошибок к обновлению?

10:24пожаловаться #4

A

Anymy in Android Guards

Окей, допустим делаем "секретный алгоритм". Значит и серверу тоже на каждый релиз апликухи нужно подсовывать новый же алгоритм. А как быть с пользователями, кто не обновился? Форсить их экраном ошибок к обновлению?

?ver=123 в параметре или user agent

11:19пожаловаться #5

RC

?ver=123 в параметре или user agent

Окей, хорошо. Я злой черт, я знаю про секретный алгоритм вместо секретного ключа и вижу версию в url. Я могу тебе передать под новую версию старую подписи - сиди и собирай на беке исключения
Ну то есть я могу форджить злонамеренные запросы, чтобы испортить жизнь серверу тогда
Алсо, никакой лид не согласиться менять на каждом релизе алгоритм ЦП на обоих сторонах. + количество алгоритмов подписи не то чтобы безконечное

11:26пожаловаться #6

C☭

Окей, допустим делаем "секретный алгоритм". Значит и серверу тоже на каждый релиз апликухи нужно подсовывать новый же алгоритм. А как быть с пользователями, кто не обновился? Форсить их экраном ошибок к обновлению?

мы так и делаем если есть BREAKING CHANGES в коде... лочим версию и заставляем юзеров апать версию принудительно )

11:27пожаловаться #7

RC

Chadwick ☭

мы так и делаем если есть BREAKING CHANGES в коде... лочим версию и заставляем юзеров апать версию принудительно )

Конечно, без этого никак)
Ну ни на каждом же релизе😄

11:28пожаловаться #8

C☭

Конечно, без этого никак)
Ну ни на каждом же релизе😄

на каждом... практика показывает...

11:28пожаловаться #9

C☭

у нас ежеквартальные релизы и постоянно что-то да и добавляется или фиксится..

11:29пожаловаться #10

RC

Chadwick ☭

у нас ежеквартальные релизы и постоянно что-то да и добавляется или фиксится..

Ладно, это уже дело такое. Я просто хотел сказать, что полагаться на секретность алгоритма - плохая идея, когда с криптографией имеешь дело
https://en.m.wikipedia.org/wiki/Kerckhoffs%27s_principle

Wikipedia

Kerckhoffs's principle

Cryptographic principle

11:30пожаловаться #11

C☭

?ver=123 в параметре или user agent

UA ничего не стоит подменить или сломать... и версия тоже ничего не даст.. как уже было сказано выше burp'ом все ловится быстро

11:31пожаловаться #12

C☭

Ладно, это уже дело такое. Я просто хотел сказать, что полагаться на секретность алгоритма - плохая идея, когда с криптографией имеешь дело
https://en.m.wikipedia.org/wiki/Kerckhoffs%27s_principle

Wikipedia

Kerckhoffs's principle

Cryptographic principle

это верно...

11:31пожаловаться #13

C☭

как вариант можно fingerprint генерить на каждого пользователя и его пихать в качестве sign'ing хэша