URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 120249
[ Назад ]
Исходное сообщение
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено opennews , 04-Апр-20 23:10 
Исследователи Центра Гельмгольца по информационной безопасности (CISPA), Университета штата Огайо и Нью-Йоркского университета провели исследование скрытой функциональности в приложениях для платформы Android. Анализ 100 тысяч мобильных приложений из каталога Google Play, 20 тысяч из альтернативных каталогов и 30 тысяч предустанавливаемых на различные смартфоны  приложений показал, что 12706 (8.5%) программ содержат скрытую от пользователя, но активируемую при помощи специальных последовательностей функциональность, которую можно отнести к бэкдорам...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=52677

Содержание
Сообщения в этом обсуждении
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 04-Апр-20 23:10 
Список то где? В статье первая же ссылка битая.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено And , 04-Апр-20 23:13 
Это не очень важно. Т.к. app меняются, а поиск подсовывает результат маркетинг-робота. И этого софта много.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено And , 04-Апр-20 23:15 
В пику поклонников snap и flatpack. Вот это как работает - вот так. Таже система: apk - самодостаточный контейнер.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено kai3341 , 04-Апр-20 23:29 
То есть если бы пакет был классическим RPM, DEB или ещё чем-нибудь, это бы автоматически гарантировало отсутствие бэкдоров?
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 04-Апр-20 23:31 
Как бы, возможность воспроизвести бинарник программы у себя (и проанализировать отличия, если они есть) как раз про это.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено kai3341 , 05-Апр-20 00:25 
То есть RPM, DEB и какой-либо другой бинарный пакет гарантированно идёт с открытыми исходниками?
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 00:41 
> То есть RPM, DEB и какой-либо другой бинарный пакет гарантированно идёт с
> открытыми исходниками?

Так тут не только программа, а и всё набандленное может быть инфицированным или как минимум уязвимым. Потом можно сказать "мы не при делах нас СКОМПРОМЕНТИРОВАЛИ". Или ничего не сказать, де не наша проблема вообще. Что там понапихано в эти миллионы автоматизированных билдов уже никто не знает.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено kai3341 , 08-Апр-20 23:07 
> Так тут не только программа, а и всё набандленное может быть инфицированным или как минимум уязвимым. Потом можно сказать "мы не при делах нас СКОМПРОМЕНТИРОВАЛИ". Или ничего не сказать, де не наша проблема вообще. Что там понапихано в эти миллионы автоматизированных билдов уже никто не знает.

То есть RPM/DEB не может содержать в себе бандл сторонних библиотек?
Подсказка -- посмотри, что устанавливает Skype, Teams и их друзья

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 09-Апр-20 02:38 
>Skype, Teams

Я не проверял, но думаю, что их будет проще пересобрать из исходников. Во всяком случае я бы не бандлил вручную скопированные файлы, хотя кто их знает.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено kai3341 , 09-Апр-20 12:01 
> Я не проверял, но думаю, что их будет проще пересобрать из исходников. Во всяком случае я бы не бандлил вручную скопированные файлы, хотя кто их знает.

Дело за малым -- достать исходники

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 09-Апр-20 12:23 
> Дело за малым -- достать исходники

Ну, любая программа чаще всего собирается из исходников, это как минимум факт.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено kai3341 , 09-Апр-20 12:46 
> Ну, любая программа чаще всего собирается из исходников, это как минимум факт.

Так и есть. Уважаемый аноним, достаньте исходники Skype и Teams

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 09-Апр-20 13:02 
>> Ну, любая программа чаще всего собирается из исходников, это как минимум факт.
> Так и есть. Уважаемый аноним, достаньте исходники Skype и Teams

Я не берусь утверждать наверняка, но вроде бы это уголовно наказуемо, как и подстрекательство. Речь о том, что уполномоченные люди доступ к ним имеют без проблем. Анонимы из интернета в перечень таких лиц, очевидно, не входят, а нарушение NDA грозит, как минимум, увольнением и судебным преследованием.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 14:18 
А посматривать в файлики LICENSE пакетов кто-то не велит?
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено asd123 , 05-Апр-20 13:21 
А в чем проблема у snap / flatpak воспроизвести?
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено gogo , 05-Апр-20 17:52 
Во-первых, наверное таки потому, что это на  порядок сложнее, чем пакет?
Но и, в главных, речь идет не о том, чтобы воспроизвести, а в том, что там напихино хз что, хз каких версий и обновлять внутренности ты сам не можешь.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено llol , 05-Апр-20 00:10 
При чём тут система пакетирования, вьюноша?

Если snap из репозитория каноникала, то нет причин не доверять. А вот если репозиторий от васяна...

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Вася , 05-Апр-20 01:46 
Я даже больше скажу, вьюноша вообще ламо, snap позволяет не только запереть приложуху в внутри его loop-девайса с chroot окружением, но и порулить кастомно ресурсами типа давать сеть, не давать usb, и т.п.

Называется sockets and plugs в контексте снапа. Все френдли из командной строки.

Тот же хромиум в snap по умолчанию имеет доступ к rawusb, что полезно запретить.

Или gnome-calculator внезапно ставится с желанием иметь сеть (видимо из-за конвертора валют)

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено iPony129412 , 05-Апр-20 05:47 
> Если snap из репозитория каноникала, то нет причин не доверять. А вот если репозиторий от васяна...

Чего? Как бы стор снапов один вообще, от canonical.
И там само собой нет каких-то проверок приложений.
Любой васян может выложить туда свой этак  биткойн кошелёк, который у тебя уведёт это самое. Шифровальщик тоже можно, и так далее.
Так что автора и проект надо пробивать для каждого snap.
Исключением являются только небольшое количество поверенных авторов с галочкой, например
https://snapcraft.io/pycharm-community

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 07:16 
Как "проверенность автора с галочкой" защитит его от компрометации, принуждения к вставке бэкдора или дурных мотивов?

Репозиторий с поставкой авторских бинариев в любом случае более уязвим, чем репозиторий с билд-фермой, куда автор пакета заливает исходники.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено iPony129412 , 05-Апр-20 07:49 
>  Как "проверенность автора с галочкой" защитит его от компрометации, принуждения к вставке бэкдора или дурных мотивов?

По тому что это уже переход на уровень бессмысленной демагогии максималиста. А автору можно преставить пистолет к голове и он зальёт исходники с хорошо запрятанным бёкдором - в сложных проектах это не сложно 😮

Разница есть и большая. Одно дело, когда просто студент на потыкать решил собрать и выложить софт какого-то Blender и ему через три месяца надоест, и он на что-то другое переключится. Так же он не побежит выкладывать софт, если секурная уязвимость. И так далее.

А другое дело, когда этим сам Blender Foundation занимается с его же ресурсами и знанием своего продукта многие годы.

Степени разная. Элементарные же вещи.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено iPony129412 , 05-Апр-20 07:56 
Ну или даже, если не теоретизировать, то банальная практика.
В Snap Store были выложены приложения майнеры, которые скрывались под известные процессы.

Понятно, что если ты ставишь PyCharm от анонимного Terminator6934, то вероятность такого вполне высока.
А если ставишь от PyCharm от JetBrains ✅, то вероятность около нуля.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 11:46 
>JetBrains ✅

А вот эту зелёную птичку канони кал раздал только нескольким разработчикам, которых сам выбрал. Остальные даже по запросу не могут получить её на свой софт, такого просто не предусмотрено.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено ramblerfrend , 10-Апр-20 00:05 
ну очевидноже ему помешает это сделать
САМОУВОЖЕНИЕ
слыхал о таком
странно что приходится объеснть такие весчи
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 04-Апр-20 23:11 
>обновить программу до pro-версии без фактической оплаты

Что-то большая часть "бэкдоров" на деле забота о пользователе. Лучше бы проанализировали шпионский софт от яндекса и мэилру. Ну и кто там ещё за любителями потных мужиков подслушивал/подглядывал, вот их тоже.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 15:19 
Яндекс и мейл один большой вирус, который нужно выпилить.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено InuYasha , 05-Апр-20 23:57 
Два больших вируса. "На выбор" )
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено ramblerfrend , 10-Апр-20 00:07 
вобщето это импортозамещение а не то что вы по своему недмыслию подумали (с увяжением не подумайте не бх весть что)
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Анонизм , 06-Апр-20 09:07 
Один из тысяч это большая часть? О_о
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено муу , 04-Апр-20 23:13 
> Результаты анализа бэкдоров в приложениях для Android

британские учёные заявляют что в магазине бэкдоров для бэкдорОС приложений выялено не было.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 04-Апр-20 23:29 
С айос не перепутал?
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 14:24 
Стоит отметиь, что там ситуация получше. Хотя анальное огораживание не решение проблемы само по себе.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 14:25 
БэкдорОС это семейство ОС по определённому признаку.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 00:05 
Да, да, "в вашем спирте крови не обнаружено"... слышали...
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 10:21 
содержание воды в москве-реке превысило все допустимые нормы
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 04-Апр-20 23:32 
Тут и анализировать нечего не надо, большая часть приложении сами являются бэкдорами им и дополнительных не нужно)))
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 04-Апр-20 23:47 
>в процентном соотношении бэкдоры были выявлены в 6.86% (6860) изученных программ из Google Play, в 5.32% (1064) из сторонних каталогах и в 15.96% (4788) из списка предустанавливаемых приложений

Непонятно, исследовали ли авторы программы с официальных сайтов разработчиков.

И вопрос к переводчику: как "Apps in alternative Market" превратились в "программы из сторонних каталогов"?
"Market" и "каталог" все-таки разные вещи.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 00:36 
Интересно, скоро ли можно будет на смартфоне пересобрать ос.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 01:41 
Андроиду нужно что-то там 100 гигабайт оперативки для сборки. Не скоро, видимо.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 01:47 
На самом деле не больше чем для ядра
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 01:57 
Мммм ядро в 500 мб уложится (в 1 поток). Когда я интересовался (несколько лет назад), там официальные требования для сборки были уже под 50 гб, т.е. в 100 раз больше.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 13:50 
В своем маня мирке интересовался? Ты не поверишь если обратится к официальной документации https://source.android.com/setup/build/requirements можно узнать что для сборки андройда рекомендуют 16 гигов рам и 250 гигов диска + 150 гигов диска за первый билд.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено vitalif , 05-Апр-20 14:45 
Чего они там наговнокодили то в таких объемах, хоспаде
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено с , 06-Апр-20 15:28 
ява же, самый быстрый и легковесной
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено ramblerfrend , 10-Апр-20 00:24 
вабщето  у нас там ресурсы всякие ну эти красивасти итд
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено BlackRot , 05-Апр-20 02:24 
Не 100, а 8
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 04:07 
> Не 100, а 8

Правда? Попробовать что ли. Я читал, что с 16 уже проблемы и нужно 32 или больше. В таком случае, извините за дезинформацию, предположительно можно пересобрать на телефоне уже сегодня.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено DerRoteBaron , 05-Апр-20 11:50 
На 8 потоках 16 уже мало, может не собраться и выпасть по ООМ пару раз,  если не повезет
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 13:57 
Расширить своп? Не не слышали.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 07:18 
Не оперативки, а места в файловой системе.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 06-Апр-20 15:56 
> Не оперативки, а места в файловой системе.

Места на флешке можно сразу пол терабайта резервировать. Именно что памяти, но тут говорят можно собирать в 1 поток на 16.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 13:17 
Один только хром будет качаться несколько часов и займёт NN ГБ диска ДО компиляции.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено SR_team , 05-Апр-20 19:20 
Собирал на телефоне gcc, boost, qt и все зависимости для них. Собирал через chroot. Кто-то на 4pda писал, что так же ядро собирал. Для сборок APK, вообще IDE есть, без мороки с контейнерами. Так что возможность собрать есть, но собираться будет долго
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 01:56 
>обновить программу до pro-версии без фактической оплаты

лол, хотеть!

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено КО , 05-Апр-20 07:11 
Так иди на форум известный
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 04:35 
> В программе удалённого управления потерянным устройством, насчитывающей 10 млн установок, выявлен мастер-пароль, дающий возможность снять блокировку, установленную пользователем на случай потери аппарата.

Делаешь весь такой программу от гопников, а в тихую продаешь ребятам из ломбарда ключ для разблокировки. Супер.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 06:49 
> в обучающей программе была возможность обхода прохождения тестов.

Жутко опасный функционал (сарказм).

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено псевдонимус , 05-Апр-20 10:55 
Да ну...бред какой-то. ;-)
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 13:14 
никогда такого не было :)
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено псевдонимус , 05-Апр-20 13:42 
И вот снова...


Страшно представить, что можно найти в виртуалке бпф, в дубасе...

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 14:32 
Чего, FFT в виртуалке?
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено псевдонимус , 05-Апр-20 16:07 
Машинка виртуальная. Берклиподобная прямо с джисоном. Прямо в в пакетном фильтре.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 13:59 
Время писать аналоги с открытым кодом для всех!
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 14:31 
Наверное, лучше делать телефоны, на которые, легко ставить обычный GNU/Linux. Тогда не придётся писать каких-то особенных программ.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 15:09 
Вот тут анализ с доказательствами, что подавляющее число описанных проблем приложения получают вместе с SDK. https://www.computerra.ru/261789/kak-prilozheniya-shpionyat-.../

Вывод такой: экосистема мобильных приложений в существующем варианте с закрытыми исходниками непригодна.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено iPony129412 , 06-Апр-20 04:55 
Ну да, ну да.
Mpd вместо плеера, Mutt в качестве почтовика, vim как редактор заметок.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено user90 , 05-Апр-20 14:51 
Хомячки должны стродать))
Вспомним-ка недавнюю новость про PinePhone и заглянем-ка в коменты.. дебилы-с!
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 15:13 
> стродать

А юзерки должны вернуться в школы!

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено user90 , 05-Апр-20 15:24 
Я и "пацтол" тоже пишу, школот.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено user90 , 05-Апр-20 15:29 
Не, я понимаю, вы там дома сидите, как обезьянки тыкаете +/-, это все понятно. Но скоро тут просто перестанут обращать внимание на онанимусов, и только.

Просто еще не все поняли, что аудитория Опеннета несколько.. хм, "(с)двинулась" :)

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 15:25 
https://F-Droid.org же.

Они берут только исходниками, сами сами собирают и сами делают аудит, и только потом размещают. Потому вайберов с вацапами там нет и не будет, а телега и разные жабы на выбор - есть.

"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 06-Апр-20 06:19 
Возможно ли программирование для Android без закрытых SDK? Если ответ нет - см.выше.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Анонизм , 06-Апр-20 09:29 
Вопрос в сокращении неизвестных. Одно дело бекдор от гугла и производителей телефонов, которые в общем то относительно доверенные лица, ну да шпионят, уроды, но для повышения прибыли, к твоему кошельку они руки не тянут, и совсем другое дело третьи разработчики.  
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 06-Апр-20 17:58 
Телеграмма там нет это проприетарное ПО,
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Анонизм , 06-Апр-20 18:27 
https://f-droid.org/ru/packages/org.telegram.messenger/
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено ramblerfrend , 10-Апр-20 00:12 
зачем ты так "а если найду"(с) не културно же
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено user90 , 05-Апр-20 15:46 
Можно написать развернутое сочинение на тему "Почему Пользователь Андроида - идиот™". Но мне лень, поэтому буду краток: сейчас на каждый чих предлагается установить приложение. Но йузерок (т. е. ТЫ, анонимус!) не видел его исходников, не знает, что оно действительно делает и какие данные передает - но устанавливает, LOL!
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 05-Апр-20 18:49 
Никогда такого не было и вот опять.
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено ryoken , 06-Апр-20 08:23 
Мда... Подскажите, а нет ли в природе генту-подобных ОС и софта для мобильных девайсов..?
"Результаты анализа бэкдоров в приложениях для Android"
Отправлено Аноним , 07-Апр-20 14:10 
Анализ бэкдоров в бэкдоре. Класс.