Там все вынесено в okhttp вроде

Тогда искать вызов метода для пининга

А сторонняя либа будет импортироваться в таком случае в приложение где-то или как-то по другому это в коде выглядит?

Вот тут было очень хорошее видео https://t.me/android_guards/18372

Подскажите, насколько критично, если у приложения debug сертификат?

Антивирусы могут ругаться

Ну да, ещё play store не примет.
А если описывать как недостаток с точки зрения безопасности?

Имя ключа и пароль стандартные. Но, чтобы использовать этой информацией, нужно утащить файл keystor-a.

То есть фактически нужны исходники?

хотя бы доступ к вашему компьютеру, на котором установлена студия

если я правильно помню, дебаг хранилище ключей находится в папке .android в системе

Нет, keystore файл

Приближается Google I/O, где нам расскажут много нового и интересного про безопасность в Android (или нет). На текущий момент есть предварительный анонс нового раздела в Google Play — Safety section. Эта штука позволит пользователям лучше понимать какие данные приложение собирает и какие механизмы безопасности для защиты этих данных задействует.

Если кто-то подумал, что это будет какая-то добрая магия и вам ничего не нужно будет делать, то у меня для вас плохие новости: все вносится руками. Google просто добавит соответсвующие поля в настройки приложения. Сейчас известно про такие настройки:

- Используемые практики по обеспечению безопасности, например шифрование
- Следует ли приложение Families policy (если вы пишите приложения для детей)
- Описание данных, которые приложение собирает и зачем оно их куда-то передает
- Проходило ли приложение внешний аудит
- Есть ли в приложении возможность запросить полное удаление данных при деинсталляции

Конечно же в этих полях можно написать полную ерунду и сказать всем, что у вас самое безопасное приложение. Поэтому в Google пообещали ловить таких хитрожопых разработчиков и требовать от них нормального заполнения. Если требование будет проигнорировано, то заблочат аккаунт. Как это будет работать в реальности — непонятно. Будут ли проводиться эти проверки до публикации в стор или уже после. Сколько времени дадут на реагирование, на сколько итераций исправлений можно будет зайти до того как в Google решат, что ты им делаешь мозги, ну и т.д.

Обязать разработчиков заполнять эти данные обещают со второго квартала 2022 года.

https://android-developers.googleblog.com/2021/05/new-safety-section-in-google-play-will.html

Всем привет, подскажите, есть приложения, которые позволяют подменить геолокацию

Подскажите, какие существуют методы борьбы с этим?

fakeGps

в ней прям можно указать точку где находишься, есть еще одно забыл как называется, оно умеет маршрут делать фейковый

да, я знаю, но я хотел узнать способы борьбы с этим, чтоб в  приложении такого сделать нельзя было

Пореверсь fakegps, глянь какие методы спуфинга гпс он юзает, попробуй детектить спуфинг либо же по костыльному детектить процесс fakegps :D

Первое что в голову приходит