Comments 11
Так в итоге-то пароль не своровать, если он правильно размечен. Вектора атаки по сути и нет.
Во многих приложениях есть кнопка "показа пароля", которая сводит на нет эту правильную разметку
Так вы же сами написали, что «сводит на нет» только если убирается inputType=password.
Да. Этим и занимается эта кнопка "показать пароль"
Нас кажется дизайнеры заставили убрать inputType=password так как им не нравится системный компонент ввода пароля и пришлось рисовать свой на обычном текст компоненте, долго спорили но в конце концов дизайнеры > разрабов как бы это грустно не звучало. Но было давно, может и вернули обратно чтобы поднималась системная форма автоввода пароля из keychain. Речь про iOS в моем примере.
который будет считывать все touch'и пользователя и слать их на сервер
Клавиатуре в сети делать нечего. Поэтому это по определению не сработает для более-менее продвинутых пользователей
Все атаки тестировал на стандартной клавиатуре на устройстве. Идея была в том, чтобы попытаться проверить атаку на любой клавиатуре (не создавать свою кастомную). А в сеть спокойно можно уйти в через какой-нибудь сервис
Но про продвинутых пользователей согласен: вряд ли такой юзер даст осознанно разрешения сомнительным приложениям. Поэтому ЦА данной статьи - не осознанные пользователи (те же дети), которые могут на своем/родительском устройстве выдать разрешения, которые приведут к последующим проблемам
Кайфовая статья!
Наши веб-браузеры тоже по сути же мобильные приложухи. Интересно, например, в Яндекс браузере сработает сей трюк? 🤔
И работает ли это с PWA приложениями?
А потом незрячий зайдет к вам в приложение и не сможет авторизоваться, потому что вы ему все поля закрыли «для безопасности».
Это проблемы дизайна подсистемы доступности в Android.
Не должно быть никакого разрешения доступности на уровне приложения. Должен быть специальный режим ОС "для незрячих", который просто так не включишь, и который зрячим был бы неудобен, чтобы если кто-то его включил без ведома владельца, это бы моментально бросалось в глаза.
Android. Кража данных через клавиатуру: миф или реальность?