Комментарии 20
сейчас под видом секурности подаётся много бреда
в частности из-за этого было удалено разработчиком из плеймаркета и предано забвению моё любимое приложение Droid Automation (и зачем я его покупал..).
У меня после обновления приложения установленные из F-Droid не могут получить доступ к файлам друг друга. Типа в телеграме скачал пдф-файл, а просмотрщик пдф при попытке открыть его получает ошибку и не работает. Я так понимаю, это новая фича безопасности, типа приложения изолированы друг от друга.
Как правильно решить эту проблему?
а попробуйте сохранить его в общем месте - например на SD card
Нет SD card, надо будет попробовать
Ха, работает теперь, если сохранить и отдельно открывать. Не работает только если из Телеграма запускать. Видимо исправили...
Добрый день!
Приложения сохраняют свои данные и кэш в директории /sdcard/Android/data. С Android 11 изменён доступ к этой папке: просматривать всё может только системный просмотрщик файлов, а приложения только в свою папку (можно почитать тут https://medium.com/nuances-of-programming/scoped-storage-в-android-без-покрова-тайн-c6d93e71f781, первоисточник истины: https://developer.android.com/training/data-storage#permissions , https://developer.android.com/training/data-storage/app-specific#external ). То есть приложение будто крутится в своей песочнице, что позволяет безопасно хранить свои данные, изолировав от остальных программ, что особенно актуально например, банковским приложениям
Следовательно, вариант решения проблемы использовать общедоступную папку для сохранения файлов, например, папку Загрузки (именно системная, не от тг). Поэтому непосредственно из папки телеграмма работать и не будет
Следовательно, вариант решения проблемы использовать общедоступную папку для сохранения файлов
А если приложение не поддерживает общедоступную папку? Например до файлов клиента owncloud теперь нет вообще никакого доступа. Можно это как-то включить или это нужно переделывать сам клиент?
Я не хочу безопасное устройство в видении гугла. Я хочу устройство, которое я сам могу контролировать - получить рут доступ без танцев с бубнами, менять политики SELinux и спокойно запускать termux. Банковские приложения я с андройда и так не использую (из соображений безопасности как раз), безопасность остальных приложений уже не так интересует.
Вот кстати да. Интересует как со всей этой дрянью обстоит в сборках типа линяги? Есть ли вообще в природе что-то нормальное?
Так что мешает? Нет препятствий патриотам! Покупаем китайский смартфон, где рут есть (либо делается по запросу у производителя), и пользуемся на свой страх и риск. Правда могут не работать разные фичи вроде бесконтактной оплаты или Netflix ну и подобное, но никто и не обещал, что все будет как в сказке. Зато свои хотелки можно удовлетворить.
Интересно было бы узнать методики защиты устройства. Как ломать понятно, а вот можно ли собрать свою крепость, зная все это?)
Добрый день!
Методы защиты устройств – это отдельная тема с целой кипой всевозможных тонкостей, продиктованных последними рекомендациями гугла и также всевозможных хаков :) сейчас ооочень много всевозможных требований безопасности, которые усложняют жизнь как разработчику, как и атакующему, поэтому, конечно, свою крепость собрать можно, но это отдельный огромный пласт обсуждений)
Использование Frida и Magisk Hide в неправильном порядке может навредить вашему устройству и работать ничего не будет
А существует правильный порядок при котором Frida и Magisk Hide будут работать? Еще ни разу так не удалось завести. Если знаете решение — будет очень интересно!
Есть выход — можно воспользоваться Magisk hide и в Burp поставить игнорирование запросов на Google
Если запросы safetynet будут отваливаться по таймауту — разве это не будет считаться неуспешной проверкой safetynet?
Если запросы safetynet будут отваливаться по таймауту — разве это не будет считаться неуспешной проверкой safetynet?
Это действительно считается неуспешной проверкой. Однако возвращаемая ошибка отличается. Конечно слишком дотошное приложение может отказаться работать, но чаще всего этот вариант допускается и выполнение не запрещается.
Обход, описанный в статье, годится, если нет необходимости использовать сервисы Гугла. Какой-нибудь Google pay так не завести)
Обход, описанный в статье, годится, если нет необходимости использовать сервисы Гугла. Какой-нибудь Google pay так не завести)
Здравствуйте! В своем ответе Вы всё верно сказали, единственное вот касательно сервисов гугла уточнение. Если у вас задача перехватить трафик приложения и его анализировать, то так как стоит игнорирование запросов на сервисы гугла проверка хоть и будет проходиться, но запросы перехватить будет нельзя, и смысла в подобных манипуляциях тогда в принципе не будет
Добрый день! Касательно вопроса про сейфтинет уже ответили, поделюсь выстраданным алгоритмом запуска шайтан - машины в виде frida и magisk hide:)) Приведен пример для запуска скрипта для ssl unpinning-a
В настройках бурпа игнорирование www.googleapis.com.
Отключить magisk hide в настройках маджиска. Выждать таймаут 1-2 минуты.
Выполнить запуск через adb (не непосредственно на андроиде) фрида сервера. Тоже выждать таймаут
Запустить нужный скрипт фриды
Очень важно правильно завершить работу!
Выполнить остановку скрипта и выждать таймаут
Выполнить adb shell netstat -nap | grep 27042 (это порт фриды) и послать SIGKILL на этот процесс. Выждать таймаут
Включить в настройках маджиска magisk hide и отключить прокси.
Эволюция системы безопасности Android или как защищается система сегодня