Российская компания заявила, что научилась расшифровывать ключи приложений из Android KeyStore

[OneType]

Ужасная желтизна в заголовке. Неискушенный в ИТ читатель может ошибочно подумать, что в Signal и Яндекс.Такси слабая криптография и уязвимости. А на самом деле уязвимость не в них, а в хранилище ключей KeyStore в самом андроид.

[pronvit]

Ну тут не очень понятно, почему (как) они якобы умеют извлекать данные только этих приложений тогда.

[OneType]

Извлекают данные только тех программ, которые положили их в уязвимый системный компонент KeyStore. Другой вопрос, почему это хранилище ключей так криптографически ослаблено.

[pronvit]

Ну как же, вот же они пишут «Компания заявила, что список приложений, чьи ключи можно извлечь и расшифровать, будет пополняться.» — значит, это от них зависит, а не от разработчиков приложений.

[nochkin]

Я вижу это так:
Пополнение списка зависит от компании. А давать повод для пополнения (использовать KeyStore) зависит от разработчика.

[1c80]

Я что то не понял, для кого она, нужно украсть(отобрать) чей-то телефон в начале и получить к нему доступ или что?

В яндекс такси и так есть история поездок, если есть доступ к телефону, то ее можно посмотреть. В сигнал тоже тогда зайти наверное можно будет.
Скачать прогу просто так нельзя, стоимость ее тоже неизвестна.

[1c80]

а правоохранительные органы и так все получат, а СБ какой дурак свой телефон отдаст, тем более, если он там что-то мутил, тоже непонятно, отнять не смогут, это уголовка сразу, при цене нынешних смартфонов, будет продолжительная путевка на лесоповал.
Но ведь берут прогу как я понял, спрос вещь непредсказуемая.

[Pro-invader]

Могу ошибаться, но телефон должен быть разблокирован. Если заблокирован и отключена отладка по USB, то ничего не выйдет.

[abmanimenja]

Что касается Яндекс.Такси, то добавить поддержку этого приложения в «Мобильный Криминалист Детектив» было решено разработчиками для того, чтобы помочь в расследовании противоправных действий, совершаемых в автомобилях такси

Зачем так сложно?
Это ж еще до телефона таксиста нужно добраться.

Куда как проще с ордером обратиться в саму службу Яндекс.Такси.
Они все поездки фиксируют и хранят (скорее всего, даже и вечно хранят).

[amarao]

Эх, хабр, хабр.

И статья желтушная, и комментарии унылы.

В двух словах о чём речь: речь о forensic утилите для извлечения ключей из защищённой области для хранения секретов. В нормальном режиме она недоступна даже root'у и напоминает по поведению смарт-карту или токен. Пользоваться секретом можно (шифровать данные, расшифровывать/подписывать данные), а вот «извлечь» нельзя. По крайней мере так обещалось. Но сломали, и сделали эту утилиту.

Неприятно, неприятно.

[1c80]

так пофиксят думаю