R
Было бы классно, если бы бахнул :)
Угу. Но мы не знаем как себя это будет вести на разных девайсах, разных вендорах и разном объеме данных. И это только первый эджкейсы, которые пришли мне в голову
Size: a a a
2020 November 15
R
А если посидеть поанализировать, то можно прямо норм накопать. Может там и RСЕ где-нибудь прячется 😉
YS
Чего гугл не сделают хранение произвольной инфы в ТЕЕ? В айфонах же вроде бы так можно?
Разве? Вроде как в Security Enclave только ключи хранятся, сгенеренные там же на эллептике
v
Разве? Вроде как в Security Enclave только ключи хранятся, сгенеренные там же на эллептике
Наш иосник говорил, что можно там произвольные строки хранить, если я правильно понял.
YS
Было бы классно, если бы бахнул :)
Ага, как начнут туда базы пихать, никакой TEE не выдержит
YS
Наш иосник говорил, что можно там произвольные строки хранить, если я правильно понял.
The Secure Enclave is a hardware-based key manager that’s isolated from the main processor to provide an extra layer of security.
YS
Key manager
YS
Ты туда ничего не засунешь вообще) максимум - сгенерируешь ключ
YS
Возможно, он имел ввиду Keychain
YS
Тогда да, спора нет, там что угодно можно хранить, но по факту - это просто БД на устройстве, правда зашифрованная (в зависимости от типа,что ты указал). Но всё равно данные оттуда можно сдампить той же Фридой. В отличии от реализации TEE и Security Enclave, которые являются аппаратными хранилищами ключей.
Для иос - можно шифровать данные на ключах из SE, перед тем, как класть их в Keychain)
Благо ты можешь быть уверен, что начиная с определенного устройства он есть везде))
Для иос - можно шифровать данные на ключах из SE, перед тем, как класть их в Keychain)
Благо ты можешь быть уверен, что начиная с определенного устройства он есть везде))
v
А, да, скорее всего, про кейчейн речь и шла.
2020 November 16
СП
Оно только с 26го API. И ни слова про ограничения этого подхода. Что будет если я запихну в эту строку пару гигов? Кейстор не бахнет? =)
Железно бахнет. Думаю там ограничено неск.сотнями байт. Кейстор не резиновый...он же и аппаратный бывает, там памяти точно мало
СП
Блин. Самому интересно стало реализуемо ли это. Надо либку написать с таким извращением.
Правда при удалении приложения его ключи стираются - так что мечта кучи людей хранить что то удаление переживающее это не сюда
Правда при удалении приложения его ключи стираются - так что мечта кучи людей хранить что то удаление переживающее это не сюда
R
Блин. Самому интересно стало реализуемо ли это. Надо либку написать с таким извращением.
Правда при удалении приложения его ключи стираются - так что мечта кучи людей хранить что то удаление переживающее это не сюда
Правда при удалении приложения его ключи стираются - так что мечта кучи людей хранить что то удаление переживающее это не сюда
А есть PoC поиграться?
СП
Ничего нет пока
R
Ну закидывай как напишешь =)
2020 November 17
RS
Всем привет. В тему Фриды. Есть какие-то относительно надежные способы её вычисления? Я знаю, что можно проверять по имени процесса и можно чекать порты, но имя процесса можно изменить, а порты медленно проверяются, что дает шанс взломщику угнать данные.
Есть что-то еще, не слишком сложное в реализации?
Есть что-то еще, не слишком сложное в реализации?
RS
И еще, как можно защититься от дампинга памяти? Конечно, переменную после использования можно обнулить, но когда там GC отработает... Я не настолько хорошо разбираюсь в устройстве Java, чтобы придумать другие варианты)
ИК
Есть безопасные строки.
RS
Есть безопасные строки.
Это какой-то класс, или механизм? Не сталкивался раньше, и хз, куда копать, чтобы ознакомиться