• úvod
  • témata
  • události
  • tržiště
  • diskuze
  • nástěnka
    • přihlásit
    registrace
    ztracené heslo?
    SHINIGAMIAndroid - otevřená mobilní platforma
    OVECKA_MJ
    OVECKA_MJ --- ---
    MAKROUSEK: Přijmi mou poklonu! děkuju!
    tohle je fok up UX, protože klik na tohle většinou je součástí zpět
    MAKROUSEK
    MAKROUSEK --- ---
    1 odpověď
    OVECKA_MJ: Ha, tak jsem na to nahodou kapnul. Disa umi ringtony a vibrace per konverzace. Kdyz se otevre konverzace, musi se tapnout nahore na jmeno nebo jmena. To otevre obrazovku s fotkou a kdyz se skroluje dolu, muze se vybrat customizovana notifikace. To je vec.
    PISKVOR
    PISKVOR --- ---
    JEREMIUS: Já holt zase musím vytáhnout Locus - baterku mi žere hlavně GPS. (Nicméně má i možnost zapínat GPS v intervalu třeba minuty a půl, získat fix a zase vypnout; na celodenní pěší výlet to s baterkou vydrželo i na dost slabý baterce na starý Xperii)
    JCK
    JCK --- ---
    +2
    JEREMIUS: locus
    JEREMIUS
    JEREMIUS --- ---
    2 odpovědi
    Máte tip na aplikaci pro sledování/zaznamenávání trasy? Existují všelijaká Endomonda atd., ale nepotřebuju, aby se moje data nonstop posílala kamsi do cloudu, ani nijak sofistikovanou aplikaci. Prostě jen abych věděl, kolik jsem ušel, jaké převýšení. A aby to ideálně nežralo moc baterku.
    PAYAXY
    PAYAXY --- ---
    HOUMLES: a co kdyz mas fingerprint lock?
    JEREMIUS
    JEREMIUS --- ---
    HOUMLES: Ok, díky, jdu do toho
    PISKVOR
    PISKVOR --- ---
    +1
    JEREMIUS: Pardon, pochopil jsem to "kód budu zadávat jen jednou, při odemčení obrazovky vůbec žádný kód zadávat nechci". Přijmi omluvu.
    HOUMLES
    HOUMLES --- ---
    2 odpovědi+2
    JEREMIUS: pokud zasifrujes telefon, tak se ti zmeni screen lock na to tvoje sifrovaci heslo .. da se to obejit abys zadaval jenom pin, ale myslim ze to potrebuje root a hlavne tim dost oslabis to sifrovani.
    jinak na dnesnich telefonech rozdil nepoznas..
    JEREMIUS
    JEREMIUS --- ---
    2 odpovědi-1
    PISKVOR: a kdo říká, že tam nemám žádný screen lock? Jde i o to, abych nemusel zadávat screen lock + pak ještě navíc kód pro odšifrování.
    PISKVOR
    PISKVOR --- ---
    1 odpověď
    JEREMIUS: To první je nesmysl - to bys IMNSHO úplně podryl většinu use cases, pro něž se šifruje - aneb "do místnosti vedou nedobytný trezorový dveře. A taky hned vedle obyčejný okno, který je navíc otevřený."

    Co jsem tak pogooglovával, tak opravdu potřebuješ screen lock (ne nutně na kód, ale ten je nejběžnější) - možnost "chci šifrování bez zabezpečení" mě dosud nenapadla.
    JEREMIUS
    JEREMIUS --- ---
    1 odpověď
    Když zašifruji telefon s Androidem 5, tak chápu správně, že:
    -kód budu zadávat jen při zapnutí telefonu, ne při každém odemčení obrazovky
    -šifruje se jen interní paměť, externí karta ne (na tu je tam zvlášť položka)
    -nezpůsobí to jinak žádné problémy :-)
    Je to tak?
    MAKROUSEK
    MAKROUSEK --- ---
    E42: Vubec neres. Veskere zabezpeceni ebankingu chrani jenom a pouze banku. Nikdy tebe, jako klienta, protoze kdyz nekdo neco ukradne VZDYCKY ti to banka vrati. Ja se treba na vsech kartach, co mam, snazil branit 3D secure, kdyz to zacinali zapinat. A vsechny banky mi daly na vyber: nechces? tak vrat kartu.
    PISKVOR
    PISKVOR --- ---
    PISKVOR: (i proto jsem napsal "appka a SMS skrz jedno zařízení není 2FA": kompromitovat zařízení lze, a jsi zpět na 1FA + falešný pocit sucha a bezpečí jako bonus)
    PISKVOR
    PISKVOR --- ---
    1 odpověď
    FALCO: Ale jo: sice *uvidí* na tvoje data, ale pokud nezkompromituje oba kanály, nemá možnost něco *provádět* za tebe. Pokud teda se autentizuje každá zajímavá operace a nejen login - ještě jsem nepotkal banku, která by se spokojila s 2FA loginem, a huvnitř už ti dala volný výběh: autorizuju furt und furt, každou transakci (nebo dávku), byť je to méně komfortní.

    Neboli všechna rizika to neeliminuje, ale dost omezí.
    FALCO
    FALCO --- ---
    1 odpověď
    PISKVOR: 2FA ti zrovna s man in the middle moc nepomůže AFAIK. (ale jinak ji teda doporučuju)
    PISKVOR
    PISKVOR --- ---
    1 odpověď+1
    PISKVOR: A pochopitelně dvoufaktorová autentizace - ale bacha, pokud máš appku i SMS v jednom zařízení, tak to věru není 2FA. HW token, holt.
    PISKVOR
    PISKVOR --- ---
    1 odpověď+1
    E42: No, problém je u toho "korektně napsaný" - pokud ta appka schroupe libovolný HTTPS certifikát (slabý, jiný než správný, sebepodepsaný, expirovaný, revokovaný) je uživatel v prdeli i s ambulancí. To bohužel jako uživatel nemáš šanci poznat (pokud ti to vývojář nějak nezpřístupní).

    Ze strany uživatele bych doporučoval připojovat se přes VPN do důvěryhodného bodu - i Vodafone svého času dělal MITM, i když "jen" kvůli vkládání vlastních reklam, a "jen" do HTTP.
    E42
    E42 --- ---
    2 odpovědi
    PISKVOR: Ne ne, vůbec, zajímám se spíš teoreticky, jestli je to něco, co by tvůrci třeba bankovních aplikací měli/mohli chtít implementovat v zájmu vyšší bezpečnosti. Ale chápu, že u korektně napsaný aplikace je to asi zbytečný. Blbý akorát je, že jako uživatel moc nedokážu zjistit, jestli je konkrétní aplikace z tohohle hlediska dobře napsaná. Takže při připojování k bance a správci hesel se se pro sichr ručně odpojuju od WiFi, i když tuším, že je to spíš asi placebo.
    PISKVOR
    PISKVOR --- ---
    1 odpověď+7
    E42: Důvěryhodnost připojení je irelevantní. Pokud si appka dokáže vytvořit bezpečný tunel (třeba HTTPS - ona ta validace cert chainu je právě na tohle), je úplně fuk, kudy ta data tečou. Pokud selže, připojení je nedůvěryhodné bez ohledu na typ; pokud je útočník schopen podvrhnout certifikát lokálně v zařízení, máš výrazně horší problémy než připojení.

    Neboli pokud tě zajímá zabezpečení spodních vrstev OSI, je to huge red flag - nechceš ta data posílat v plaintextu, že ne?
    Kliknutím sem můžete změnit nastavení reklam