Самоустановка приложения МТС на устройствах Samsung: как это могло случиться

[Svobodniy]

А как же ограничение: «функция автоматического обновления Google Play загружает новые версии, только если новое приложение не требует больших полномочий, чем предыдущее»? Самсунг Сошиал Хаб не требовал отправки платных СМС, а приложение от МТС требовало.

[PavelPV]

Поэтому обновления автоматом не было. Телефон сообщал о доступности новой версии программы. Установку производил сам пользователь.

[dimmaq]

> амсунг Сошиал Хаб не требовал отправки платных СМС, а приложение от МТС требовало.

В интернетах пишут, что у самсунговской программы были права на отправку смс t.co/ZGdjKPTg
Кому верить?

[taliban]

Все правильно, у хаба должне быть доступ к смс, потому как он в списке содержит все, от почты и твиттеров до смс.

[pollution]

Господин Муртазин эпичную истерику закатил по этому поводу с недельку назад.

[Orion]

Угу, тоже читал эти эпические вирши :)

[Seekeer]

А ссылочкой не поделитесь?)

[Orion]

www.mobile-review.com/articles/2012/samsung-attack2.shtml

[Dyr]

Муртазин такой Муртазин…

[Beholder]

Разработчик — злобный буратино. Надо же читать старые ещё Sun'овские соглашения о наименовании пакеджей. Называться они должны были бы как-то подобно ru.mts.mobile и com.samsung.social

[symadmin]

Возможно одно писалось на основе темплейта другого

[WarGot]

Как не андройщик не совсем Вас понимаю, можно ссылку чтобы понять что за соглашение?

[Beholder]

Это относится даже не к Андроиду, а к Java. Как именовать объекты
www.oracle.com/technetwork/java/javase/documentation/codeconventions-135099.html
И неформально
docs.oracle.com/javase/tutorial/java/package/namingpkgs.html

[WarGot]

Полезное соглашение. Спасибо за инфу.

[grigoryvp]

Есть подозрение, что студент, работавший у аутсорсера, не знал что такое «sun», «соглашение» и «пакеджи», а «просто нажимал кнопочки» :)

[dime]

Разработчик называл пакеты по наименованию компании-разработчика — это не противоречит соглашению. Именовать соответственно имени компании-клиента — довольно неочевидное решение и в подавляющем большинстве случаев не удобное. Хотя именно в данном случае, это таки могло скрыть основную ошибку — одинаковую подпись.

[volhovec]

Возможно да. А возможно кто то хотел проверить «а что если» )
Всякое бывает.

[ruikarikun]

Продемонстрирована возможность следующей атаки:
1. Разработчик А выпускает приложение Б
2. Множество пользователей приложение Б получают из коробки вместе с системой (я так понимаю, критично, что в маркете его должно не быть)
3. Разработчик А выпускает приложение В
4. Пользователи из пункта 2, без предварительного согласия, получают себе приложение В на телефон

В данном случае ничего страшного, но в принципе, это наводит на размышления. Представьте, что случиться, если, к примеру, у тех же Samsung украдут сертификат от какого-нибудь пакета, подпишут им вредоносный код, выложат его в маркет под тем же именем?

[mayorovp]

Эта история — не то чтобы недоразумение, а полная нелепица.
Официальное приложение от Samsung подписано сертификатом какого-то левого аутсорсера!

[dlancer]

Это с сожалению нормальная практика у многих крупных компаний.
Содержать свой штат разработчиков теперь не модно и дорого. Да и в общем не хватает разработчиков на всех.
А тут еще оба приложения по сути — мусор. Потому так и вышло.

[mayorovp]

Штат штатом, а подписывать нужно самостоятельно.

[achekalin]

Чем дальше думаю, тем это совпадение кажется все невероятнее и невероятнее. Объяснить такое можно либо злым умыcлом, либо раздолбайство. И если умысла нет, такой пофигизм со стороны заказчиков наводит на нехорошие мысли — похоже, и Samsung-у, и МТС на самом деле не особо важен результат — а именно, качество разработки софта и довольность пользователя.

[romychs]

Если я покупаю софт, это не значит, что я должен проверить имена всех пэкэджей и убедиться, что в софте нет багов.

[achekalin]

Вообще заказчики такого уровня могли бы быть и придирами — их ошибка при приемке бьет не только по карману (их), но и по репутации.

Согласен, не все предугадаешь, но потестировать package до его всемирного выкатывания, и потестировать на разных устройствах — мысть вроде простая.

[rblv]

У меня на nokia 5530 по дефолту стоит яндексовский Я.Онлайн. Этому, вероятно можно было-бы порадоваться, если-бы был на яндексе какой-нибудь аккаунт, а в диспетчере приложений при родной прошивке, этот яонлайн + ещё несколько приложений (игры, ovi maps) удалить нельзя.

[TedBeer]

У меня был такой случай:
Я написал словарь для личного пользования и чтобы была возможность использовать его в читалке пришлось прикинуться словарем Фора, к которому в ней была интеграция. Т.е. имя пакета моего словаря совпадало с именем Форы. На маркет не выкладывал. После установки на телефон маркет стал отчаянно валиться при каждой проверке апдейтов установленных программ. Все вылечилось позже, когда маркет пару раз обновился.
Сейчас все работает — и маркет и читалка со словарем.