Пароли, pgp ключи и любые аккаунты которые касаются работы у меня хранятся на одной единственной машине (ну, не считая бекапов) которая надёжно спрятана дома

Пароли - хранятся ещё и везде, где они введены, видимо?

Таскать это с собой -- та ну нафиг, тебе достаточно на улице пистолет к голове приставить, заставить ввести пароль и отобрать телефон/ноут

Таскать это с собой -- та ну нафиг, тебе достаточно на улице пистолет к голове приставить, заставить ввести пароль и отобрать телефон/ноут

Ну, у нас видимо разные threat model :B

Пароли - хранятся ещё и везде, где они введены, видимо?

Да, аккаунты от всякого говна типа телеграмма которое я не использую для работы или чего-то реального залогинены на телефоне ещё, но их я не боюсь потерять

Ну, тогда хз.. мне вот не нравится в мобильных приложениях наоборот то, что они пароли хранят. Ведь секьюрно-то они это делать не могут. Гораздо лучше, если они заюзали пароль и потерли. А потом на сессионном токене живут сколько-то

Совсем не обязательно хранить пароль. Достаточно access token и refresh token

^ так и делают нормальные приложухи.

Опять же, на твоем и на моем телефоне все пароли есть. Разница в том, что в моем они зашифрованы. Вот и всё собственно. Но если приложение не юзает access+refresh token, то мы в одинаковых условиях

Либо пароль хранится зашифрованный чем-то типа пина

Телефон отобрали, пароль из preferences извлекли

^ так и делают нормальные приложухи.

Есть еще варианты безпарольные, но они сложнее

Либо пароль хранится зашифрованный чем-то типа пина

Говно. За такое надо бить

Ну вот скайп сейчас взял и разлогинил меня, а контейнер где лежит пароль от него находится милях в пяти от моего текущего места нахождения

Говно. За такое надо бить

На гейос, если память не изменяет, так можно.

Да, аккаунты от всякого говна типа телеграмма которое я не использую для работы или чего-то реального залогинены на телефоне ещё, но их я не боюсь потерять

Тогда пароли от них можно хранить во всяких облачных сервисах =)

Ну там это системно, не не уровне самого приложения, так что не побрутить.

Либо пароль хранится зашифрованный чем-то типа пина

Можно шифровать ключом, который хранится в хардварном секьюрном сторадже телефона - тогда его расшифровать можно будет только на этом же телефоне

Можно шифровать ключом, который хранится в хардварном секьюрном сторадже телефона - тогда его расшифровать можно будет только на этом же телефоне

Лол, нет

По крайней мере не на андройде

На гейос, если память не изменяет, так можно.

Нигде нельзя. Рассчитывать на секурность телефона нельзя

Трастзон это дырявый кусок говна

Нигде нельзя. Рассчитывать на секурность телефона нельзя

Ну тада можно сразу говна поестсь, ибо смысл защищать пароль, если сам телефон скомпрометирован?

Там столько уязвимостей и кривых апплетов от OEM, что ой

Не, ну если так смотреть, то да. Но это лучше, чем пин или как некоторые делают - хранят ключ шифрования вместе с зашифрованными данными

Ты все равно войдешь и отдашь пароль.

Ты все равно войдешь и отдашь пароль.

Ненадежно != скомпрометировано.

Кусок бумаги у тебя в кармане - ненадежное хранилище пароля. Но оно не скомпрометировано

Тут про UX речь а не про безопасность

Я воспринимаю приложение как нечто, что не может просто взять и потерять вбитые в него данные (включая пароль/сессию) вообще никогда

Вопрос в трет моделе опять же. Извлечь ключ из hardware-backed keystore телефона - это все же не так легко, как извлечь например shared preferences..

Тут про UX речь а не про безопасность

Я согласен, что если приложение не держит сеанс (но должно) то это говно и за это надо ломать руки

Вот Thunderbird меня не разлогинивает никогда, Pidgin тоже, так какого хуя скайп внезапно берет и разлогинивает

Я согласен, что если приложение не держит сеанс (но должно) то это говно и за это надо ломать руки

Это значит, что есть только access token, но нет refresh :)

Вопрос в трет моделе опять же. Извлечь ключ из hardware-backed keystore телефона - это все же не так легко, как извлечь например shared preferences..

Ты рассматриваешь только прямое извлечение, не учитывая другие моменты

Здравствуйте

Например если вся сессионность зависит от пароля в хранилище, то есть совсем ненулевая вероятность его потерять на простом митм

Привет

Здравствуйте

Шалом

Вопрос в трет моделе опять же. Извлечь ключ из hardware-backed keystore телефона - это все же не так легко, как извлечь например shared preferences..

Зависит от телефона

Для большей части девайсов на чипах от Qualcomm которые есть на руках у людей -- элементарно потому что для них в паблике есть чуть ли не готовые эксплойты

Для самых-самых свежих конечно не, но это ж андройд -- вендоры забивают на обновление и подлержку

Для большей части девайсов на чипах от Qualcomm которые есть на руках у людей -- элементарно потому что для них в паблике есть чуть ли не готовые эксплойты

и шифрование ФС не поможет с запароленным экраном?

ну пока телефон залочен, но включен, он расшифрован, но много ли эксплойтов, чтобы влезть внутрь через USB?

Так речь про случай когда сама ОС уже скомпрометированна

ну пока телефон залочен, но включен, он расшифрован, но много ли эксплойтов, чтобы влезть внутрь через USB?

Че прикалываешься? Пасс с экрана снять как 2 пальца обоссать

Человек говорил что мол hardware baked storage защищает от такого, но там все не очень гуд

Че прикалываешься? Пасс с экрана снять как 2 пальца обоссать

эммм, ну длиной 20 символов? на мелкой клавиатуре?

не просто пин цифровой

В TrustZone помимо более-менее норм кода который деплоит вендор платформы есть куча говно-приложух которые деплоит OEM, и там все очень плохо с безопасностью

ну хотя это пароль на шифрование фс, на разлочку обычно меньше и комфортнее(

Чьёрт, забыл как штука называется. Подключаешь телефон к пк и через неё затираешь пару файлов, и вуаля, пасса нет

Чьёрт, забыл как штука называется. Подключаешь телефон к пк и через неё затираешь пару файлов, и вуаля, пасса нет

даа, но телефон не подключается, потому что настройка говорит "заряжаться!"

а то канеш ща еще про usb отладку вспомните)

Так там порога сама делает всё, а настройку заряжаться можно и с паролем менять же

В Apple вместо TrustZone используется своя приблуда под названием SEP, и вот она уже более-менее норм потому что её целиком и полностью делает Apple, левый код от левых вендоров там не крутится

В TrustZone помимо более-менее норм кода который деплоит вендор платформы есть куча говно-приложух которые деплоит OEM, и там все очень плохо с безопасностью

А они где вообще хранятся, эти приложухи? Типа фирмвари soc?

Ядро TrustZone хранится на отдельной партиции на флешке, оно инициализируется бутромом задолго до старта операционной системы и ее загрузчика

Приложухи хранятся на рутовой файловой системе, их вгружает в TrustZone уже сама ОС

А ядро TrustZone в свою очередь чекает их цифровые подписи

У Qualcomm по крайней мере так, за другие чипы не знаю, не реверсил

Да, цифровая подпись ядра TrustZone чекается бутромом а бутром в свою очередь является root of trust потому что он неизменяемый

Он хранится в отдельном ROM-е внутри чипа

Понятно, спасибо! Т.е. всякие cyanogen или теперь LineageOs в это не вмешиваются, там все стоковое работает

Хотя наверно можно удалить приложухи хотя бы?

ERROR: S client not available

Ребятки. Подскажите пожалуйста, у кого Кали. Я в терминале вышел из режима суперпользователя в обычного.У меня не работает tab автодополнение. И когда я выполняю команду, например, перехожу в папку другую, он её не выполняет.

Ребятки. Подскажите пожалуйста, у кого Кали. Я в терминале вышел из режима суперпользователя в обычного.У меня не работает tab автодополнение. И когда я выполняю команду, например, перехожу в папку другую, он её не выполняет.

Обратно зайди под рутом?

$ sudo su [sudo] password for foks: foks is not in the sudoers file. This incident will be reported. $

Мне его нужно в администраторы загнать чтоль?

рут дай

Что?

$ sudo su [sudo] password for foks: foks is not in the sudoers file. This incident will be reported. $

Ты кроч должен входить прямо под рутом

то есть, вводить не vasyan:1234

а root:1234

тада таб будет работать.

Вообще, в кали рут по дефолту стоит и без пароля.

Просто нужно было su написать в терминале.

Всем привет

Пользуется кто скрытым RMS, который АВ не палят??

Если есть такие, стучите в личку, есть тема

Привет

> @wsnark Т.е. всякие cyanogen или теперь LineageOs в это не вмешиваются, там все стоковое работает ну, поскольку TrustZone приложухи вгружает ОС — то таки вмешивается

вообще эта хрень лежит на совести мейнтейнеров которые готовят цианогенмод под конкретные аппараты, кто-то тупо копирует все приложухи что есть из OEM-овской прошивки, кто-то старается минимизировать их кол-во

В целом, там есть как и обязательные приложухи (DRM, крипта, итд.) так и те, которые можно выкинуть не сломав систему

А обязательность как контролируется? Drm мне например нафиг не нужна - все равно не смотрю такое видео

> @wsnark А обязательность как контролируется? с TrustZone приложухами общаются системные библиотеки от которых в свою очередь зависят обычные андройд приложухи, тот факт что ты не смотришь такое видео например не означает что на это DRM апи не будет внезпно завязана какая-то неожиданная хрень

тоесть по факту никак, но если вдруг выкинешь что-то что не следует выкидывать — то часть системы или какие-то приложения могут перестать работать

но ты не обольщайся, в ядре TrustZone тоже уязвимости бывают, не так много как в приложухах если в штуках считать, но как правило злее

а ядро уже не выкинешь никак потому что на него завязан и загрузчик, и secure boot цепочка и черт знает что еще

> @wsnark А обязательность как контролируется? с TrustZone приложухами общаются системные библиотеки от которых в свою очередь зависят обычные андройд приложухи, тот факт что ты не смотришь такое видео например не означает что на это DRM апи не будет внезпно завязана какая-то неожиданная хрень

Мда.. Стабами бы заменить такие апи тогда. А вообще тема интересная и малообсуждаемая. Я 2года с аосп работал, в разработке сервисов, а про это все не имею понятия..

если вендор платформы запилил тебе патч для уязвимостей в ядре TrustZone — то збс, если нет — то самому его ни отключить, ни пропатчить

если вендор платформы запилил тебе патч для уязвимостей в ядре TrustZone — то збс, если нет — то самому его ни отключить, ни пропатчить

Понятно..

потому что в TrustZone кроме вендора платформы (Qualcomm, итд.) и OEM (samsung, sony, итд.) никто больше не лезет, свой код ты там не запустишь никак

через уязвимость разве что)

следовательно людей которые шарят как с ним работать за пределами этих лавок крайне мало, а те кто работают в этих лавках — ни с кем не общаются из-за фашистских NDA

документации на все это тоже нет понятное дело, какие-то куски знаний можно найти в Qualcomm-овском линукс ядре, какие-то в обрывках утекшей документации