Size: a a a

2020 November 04

C☭

Chadwick ☭ in Android Guards
Solanio
ем и?
это же для определения версии апки
и какой алгоритм/ключи юзать для проверки подписи запроса
а.. ну если в этом смысле... но все равно критично все поддерживать на стороне бэка,,,
источник

RC

Roman Chumachenko in Android Guards
Chadwick ☭
правильно
Тогда я не понимаю, как это регистрировать на сервере, чтобы потом можно было "знакомых" от "незнакомых" отличать
источник

C☭

Chadwick ☭ in Android Guards
Roman Chumachenko
Тогда я не понимаю, как это регистрировать на сервере, чтобы потом можно было "знакомых" от "незнакомых" отличать
при логине отправляется хэш и сохраняется на бэке как доверенный + отправить имейл , чтобы пользователь подтвердил сие действие и если он каким то образом на другом девайсе соберется неправильно, то баннить акк.. может так?...
источник

IC

Ilya Chirkov in Android Guards
Chadwick ☭
при логине отправляется хэш и сохраняется на бэке как доверенный + отправить имейл , чтобы пользователь подтвердил сие действие и если он каким то образом на другом девайсе соберется неправильно, то баннить акк.. может так?...
Обновил прошивку/восстановил бэкап на другом девайсе - получил бан
источник

C☭

Chadwick ☭ in Android Guards
Ilya Chirkov
Обновил прошивку/восстановил бэкап на другом девайсе - получил бан
так в имейле то ссылка на верификацию и учетка автоматом разлочится после подтверждения
источник

C☭

Chadwick ☭ in Android Guards
но и это не спасет если запрос все равно можно перехватить и подставить оригинальное значение на другом девайсе
источник

C☭

Chadwick ☭ in Android Guards
источник

NK

ID:0 in Android Guards
​​Чердачок Брюса Шнайера. Выпуск №4 “Симметричная криптография”

Существуют два основных типа алгоритмов, основанных на использовании ключей: симметричные алгоритмы и алгоритмы и алгоритмы с открытым ключом.

Симметричные алгоритмы (symmetric algorithms) иногда называют условными (conventional). Это алгоритмы, в которых ключ шифрования может быть вычислен по ключи расшифровки, и наоборот. В большинстве симметричных алгоритмов ключи шифрования и расшифровки совпадают. Эти алгоритмы, также называемые алгоритмами с секретным ключом (secret-key algorithms) или алгоритмами с единственным ключом (signle-key algorithms), требуют, чтобы отправитель и получатель согласовали ключ до начала передачи секретных сообщений. Безопасность симметричного алгоритма зависит от ключа. Шифрование и расшифровка с использованием симметричного алгоритма записывается так:

Ek(M) = C,

Dk(C) = M.

Симметричные алгоритмы подразделяют на две категории. Одни алгоритмы обрабатывают открытый текст побитово (иногда побайтово). Они называются потоковыми алгоритмами (stream algorithms) или потоковыми шифрами (stream ciphers). Другие обрабатывают биты открытого текста по группам. Группы битов называются блоками (blocks), а алгоритмы — блочными алгоритмами (block algorithms) или блочными шифрами (block ciphers). В современных компьютерных алгоритмах типичный размер блока составляет 64 бита — достаточно большое значение, чтобы предотвратить анализ, и в то же время достаточно небольшое для удобной работы.

#ЧБШ
источник

C☭

Chadwick ☭ in Android Guards
Chadwick ☭
но и это не спасет если запрос все равно можно перехватить и подставить оригинальное значение на другом девайсе
FYI @OxFi5t ☝🏻
источник

R

Rtem in Android Guards
Я среагирую чуть позже )
источник

IM

Ilnaz Mannafi in Android Guards
На днях столкнулся с таким. Приложение дополнительно защищено через ssl pinning (OkHttp-ный CertificatePinner и закрытый ключ). Подменив его через чарльз подсмотрел запросы на бэк, при этом ответ, что логично, не приходит, а вместо этого кидается html-страница. Еще что интересно, создал простенькое приложение, которое юзает закрытый ключ приложения. Делаю запрос, и опять получаю html, а не ответ на запрос. Кто-нибудь сталкивался с таким? Приложение не банковское, но такая вот защита припилена.
источник

R

Rtem in Android Guards
@ChadwickBlackford а в чем конкретно вопрос?
источник

C☭

Chadwick ☭ in Android Guards
Ilya Chirkov
Обновил прошивку/восстановил бэкап на другом девайсе - получил бан
источник

C☭

Chadwick ☭ in Android Guards
Rtem
@ChadwickBlackford а в чем конкретно вопрос?
твое профессиональное мнение касательно темы https://t.me/android_guards/16905
источник

R

Rtem in Android Guards
Я думаю, что это имеет смысл, особенно если есть требования от банка. Правда я бы не хэш запроса считал, а цифровую подпись делал бы. Смысл в данном случае тот же, а результат интереснее =)
источник

C☭

Chadwick ☭ in Android Guards
Rtem
Я думаю, что это имеет смысл, особенно если есть требования от банка. Правда я бы не хэш запроса считал, а цифровую подпись делал бы. Смысл в данном случае тот же, а результат интереснее =)
например?
источник

R

Rtem in Android Guards
Chadwick ☭
например?
Злоумышленник не может повторить запрос. Если ты про “интересный результат” )
источник

C☭

Chadwick ☭ in Android Guards
приватный ключ все равно надо хардкодить в апэкашку..
источник

R

Rtem in Android Guards
нет =)
источник

R

Rtem in Android Guards
Это же ломает всю схему сразу
источник