Интересно, какие данные хранят о тебе приложения? Сейчас мы все достанем и посмотрим💥

#superangle #inwady

Приветики, давно не виделись. Праздники пролетели со скоростью света и я все не могу войти в режим и опять начать писать. Да и увлеклась параллельным проектом, потому времени вообще стало мало. Вообще я все хотела поговорить про Google IO. Но что-то у меня так и не задалось написать целиком статью, потому вот вам краткий экскурс:

1. Активное продвижение Kotlin, теперь этот язык окончательно укрепился в мобильной разработке. Однако я до сих пор думаю, что писать на нем библиотеки - не лучший вариант.

2. Новая версия Android Q - основное направление - безопасность, но это не точно :) Самая клевая фишка - темная тема и возможность обновления системы, без ее перезагрузки. Звучит мило, но надо смотреть как все это будет работать.

3. Pixel 3a - дешевый для всего мира и не совсем дешевый для стран СНГ (всего-то 399$)

P.S. Зацените приложение Прямая расшифровка от Google. Работает действительно впечатляюще.

Завтра буду на Mobius, надеюсь на хорошие доклады 😊

Какой-то там подкаст

У меня тут небольшой обзор первого дня PHDays есть, если кому интересно как проходят конференции по иб — велком

Все хотят заработать, и программисты в том числе :)

@shkryaba #business

Завтра Алексей Набережный @inwady будет выступать на DroidHeads с очень важной темой про fuzzing-тестирование. Приходите, будет интересно :)

Меня тут позвали вести twitter-аккаунт Mobileunderhood. Это коллективный твиттер-аккаунт для мобильных разработчиков с новым автором каждую неделю, подробнее вот тут.

Скажу честно, в твиттер я не очень, потому приветствуются пинки разного калибра, а желательно просто ваша активность :)

Вообще, смысл этого мероприятия довольно прост: я в течение недели на этом общем аккаунте раскрываю какие-то интересные темы. Но так как вы, зайки, у меня умные, и читаете @paradisecurity, то, скорее всего, вы будете самыми прошаренными в темах, о которых я там буду рассказывать, потому не стесняйтесь дополнять меня и лайкать.

А вообще, я подумала не терять время зря и попытаться впихнуть весь полезный код, который бы помог сделать каждому разработчику свое приложение чуть безопаснее в одну либу и оставить ее для всех в открытом доступе. Никаких сверхъестественных решений я предлагать не собираюсь, все это скорее всего можно найти в свободном доступе или просто сделать выводы прошерстив любой чек-лист по безопасности мобильных приложений. Я просто решила собрать все это в кучу.

Что в этой либе будет

Возможно вы помните еще давнооо я публиковала список того, на что стоит обратить внимание при разработке безопасносного мобильного приложения. В общем-то именно это (ну или отчасти) я и буду освещать на этой неделе. Так что отталкиваясь от такого плана, предлагаю придумать этой либе название. Я за SecurityLib. Чтобы сделать свои предложения — вперед под этот твитт.

Комментарии, пулы и полезные предложения — приветствуются, как в твиттере, так и на гите. На канале я никогда не создавала треды с возможностью комментировать, так вот, теперь у вас есть уникальная возможность высказаться под постами твиттер-аккаунта, который на неделю стал моим.

P.S. Только чур не шалить :)

​​Что можно сделать плохого с приложением

1. Тамперинг (незначительно изменение приложения для подмены ключевых функций, фишинга или слива данных)

2. Ресерч кода. Пользователь получает деньги за клики или checkin, если нет защиты от деобфускации то можно вытащить API, вытащить тестовые сборки (если build.test)

3. Недостатки в приложении. Разработчики могут допускать ошибки, которые могут приводить к серьезным атакам в виде IPC. Внутренние данные из приложения можно отправить на сервер.

Типичные ошибки при разработке приложений

1. Неверное использование KeyStore
2. Неправильная реализация NFC
3. Логирование
4. Пин код на стороне клиента
5. Неправильная настройка proGuard
6. Неправильная реализация авторизации
7. Обход смс аутентификации
8. Неправильная настройка пушей
9. Обход окна пина
10. Не очищаются данные приложения
11. Корпоративные ключи в приложении

Какой инструмент для запутывания кода вы используете в своем проекте?

Вчера обсуждали с коллегами, что программирование похоже на создание стихов, или картин, да чего угодно, что так что так искусство.

А относитесь ли вы к программированию как к искусству? Или занимаетесь этим чисто ради заработка?

Я тут флешмоб запустила. Мы любим похаять приложения и их разработчиков, а вот с похвалой у нас туго. Так давайте попробуем вспомнить приложения, которые вам заходят больше всего. Переходим под твитт, предлагаем свое приложение и ретвиттим дальше :)

Весь код, который я выкладывала пока вела свою неделю на Mobileunderhood выложен сюда. Я буду скорее всего его дополнять, если у вас есть предложения - то тоже вперед :)

Свой твиттер скорее всего вести я тоже буду, но пока решаю в каком виде. Думаю, посты будут на инглише, чтобы расширить аудиторию.

От разработчиков Альфа-Банка клёвые доклады. Следите за трансляцией

Кто-нибудь задал им вопрос про утечку? :)

В интернет попала персональная информация примерно 900 тысяч клиентов «Альфа-банка», «ОТП-банка» и «ХКФ-банка».

Часть записей в том числе содержит паспортные данные и остаток на счете.

Шутка-минутка

Мобильная разработка стала в последнее время очень востребована. Каждая компания сейчас хочет иметь собственное приложение, и тому есть несколько весьма понятных причин:

• это повышает имидж компании
• позволяет легко информировать пользователя о различных акциях
• выделяет на фоне конкурентов
• позволяет всегда оставаться с клиентом на связи
• существенно повышает продажи

Однако, несмотря на это, на рынке мобильных разработчиков все равно наблюдается существенный дефицит кадров. Но, должна заметить, что в последнее время очень часто вижу много курсов, которые звучат примерно так: “Стать Android-разработчиком за месяц”, “iOS разработка для самых глупеньких”, “Полгода и ты зарабатывает 100500 тысяч баксов на приложениях”. Вроде все это должно было повысить количество мобильных разработчиков, однако дефицит все равно наблюдается. По крайней мере мои знакомые hr жалуются на это. Зачастую, компании сами вынуждены проводить курсы для того чтобы заполучить себе новые кадры.

Кроме недостатка кадров наблюдается еще и низкий уровень самих мобильных разработчиков. Это связано с тем, что компании чаще всего нанимают одного Android-разработчика и одного iOS-разработчика, в самых печальных ситуациях это может быть вообще один и тот же человек. В таком случае разработчику сложно объективно оценивать свои знания, он постоянно варится в своем же коде. В худшем случае его еще и никто не ревьюит.

К тому же, много тех, кто боится начать изучать мобильную разработку, не знает с чего начать и не уверен в своих силах, а также тех, кто застрял на каком-то уровне и не знает куда двигаться дальше.

Где-то недели две назад я решила освежить свои знания, и мне пришла идея последовательно описать маршрут становления Android-разработчика.