1.1, Аноним (1), 07:35, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +25 +/– |
> пароль передаётся открытым в числе аргументов
эм... ну ОК
> Программа написана на языке Rust
а, ну тогда секурности хватит на всё, даже на то, что выше
| |
|
2.6, Аноним (6), 07:51, 07/09/2021 [^] [^^] [^^^] [ответить]
| –31 +/– |
Сделай лучше. Ах да, ты сложнее хеллоуворда по мануалу написать не способен.
| |
|
3.15, Аноним (15), 08:56, 07/09/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Вообще-то какой-нибудь https://github.com/jaraco/keyring это ентри левел. Дбус конечно тоже не сахор, но всё же получше и там есть управление и контроль над привилегиями. Секреты не должны быть в открытом виде. Если секрет в файле плейнтекстом (что уже лучше аргументов которые видны всем процессам и вся телеметрия отравляет информацию о процессах в интернет зачастую по http), то как минимум его расположение должно быть случайным.
| |
|
|
5.33, Аноним (15), 11:07, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Чтобы секреты хранить в надёжном месте. Kwallet через pam разблокируется, удобненько.
| |
|
|
7.48, Жироватт (ok), 13:04, 07/09/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
На 99.999% систем он так или иначе есть по зависимостям. Оставшиеся ребята так или иначе его притащат. Ну или сделают свою либу, с блекджеком, но без питона
| |
|
|
|
4.53, Аноним (-), 13:41, 07/09/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
> Вообще-то какой-нибудь https://github.com/jaraco/keyring это ентри левел. Дбус конечно
> тоже не сахор, но всё же получше и там есть управление
Какой занятный (на самом деле нет) оверинжиниринг на ровном месте. Не хватает системд и restapi для гуя на электроне.
> и контроль над привилегиями. Секреты не должны быть в открытом виде.
> Если секрет в файле плейнтекстом (что уже лучше аргументов которые видны
> всем процессам и вся телеметрия отравляет информацию о процессах в интернет
> зачастую по http), то как минимум его расположение должно быть случайным.
Если у тебя телеметрия с компа сливает данные (и имеет доступ к всем процессам), то возможная утечка одноразового пароля от гуглоакка - самая меньшая из твоих проблем.
| |
|
|
2.16, Жироватт (ok), 09:05, 07/09/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
Ты ничего не понимаешь.
Тут вам не это самое, не проклятые небезопасные сишные языки, которые небезопасны по умолчанию, тут супер-пупер-секурный раст! Он лично бежит к каждому, кто хочет украсть открытый пароль из аргументов и напихивает полные глаза мыла, чтобы скрыть его! Это новая, невероятностная технология бажапашношти!
Ну а таки да, это п@#$ц, товарищи. Программу качества "fast python prototype" уровня еще до преальфы уже публикует не кто-нибудь, Вася Оподливкин или Джонни МакМазефакер, а EFF.
| |
|
3.28, Юрий (??), 10:36, 07/09/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
Пробел перед командой поставить религия не позволяет?
| |
|
4.38, Аноним (38), 11:19, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
мне (и не только мне) религия позволяет запустить ps и обойтись без истории шелла
| |
|
5.92, виндотролль (ok), 19:43, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> запустить ps и обойтись без истории шелла
Это на случай, если забудешь свой пароль?
От кого ты свой пароль но своей машине собрался прятать? А на чужую тебя никто не пустит.
| |
|
6.108, Аноним (38), 08:35, 08/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> А на чужую тебя никто не пустит.
ой ли. Разве недостаточно выложить около-полезную поделку на гитхаб? Желательно конечно от имени EFF. При наличии deb/rpm пакетов, сколько людей будет пересобирать самостоятельно или сравнивать бинарник с кодом?
| |
|
|
|
3.30, Аноним (30), 10:44, 07/09/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
На нем просто проще писать т.к. не нужно делать delete. Такую утилитку проще было написать либо на python, лобо на Rust. Лучше конечно на python, т.к. можно было бы без подготовки сразу запускать на Android через termux. И написать скриптик аналог Aurora Store и полностью отказаться от Google Play. Еще бы аналог Galaxy Store для Samsung написали, правда там оплата NFC Samsung Pay все равно требует аккаунт или стороннего приложения.
| |
|
2.22, Crazy Alex (ok), 09:47, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Ещё мне на своей линуксовой машине пароль от убогого гуглосервиса прятать не хватало
| |
|
3.55, Аноним (55), 13:58, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
межпроцесс-фс-драм-кэш-своп-чипхаб - клирнет-провинция с "туристами" от загрузки до ресета, поросшая давними предрассудками о местоимениях "свой", "мой".
| |
|
2.52, Аноним (-), 13:34, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
>> пароль передаётся открытым в числе аргументов
> эм... ну ОК
Казалось бы, какая разница, если оно предназначенно совсем не для скачки с паролем (да и тот - левый).
>> Программа написана на языке Rust
> а, ну тогда секурности хватит на всё, даже на то, что выше
А, очередной клоун.
| |
|
3.67, Аноним (-), 15:44, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> А в чем проблема завести пустой аккаунт для закачки?
> Абсолютно пофиг на пароль.
Еще скажи, что основная аудитория таких утилит - как раз те, кому никуда не вперся анальный зон^W^W "настоящий гуглоакк", но иногда требуется приложение из гуглорепы 🙄
| |
|
|
1.2, nebularia (ok), 07:38, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +9 +/– |
> умолчанию приложения грузятся с ApkPure
Просто напомню про эту историю:
https://xakep.ru/2021/04/12/apkpure/
С другой стороны, сам сайт вроде приличный, но после загрузки с него точно нужно сверить цифровую подпись из источника типа Exodus. В исходниках тулзы выше я этого не вижу.
EFF уже не тот...
| |
|
2.4, Аноним (-), 07:48, 07/09/2021 [^] [^^] [^^^] [ответить]
| +3 +/– |
>Просто напомню про эту историю:
Это малое зло. Из Андроида просто так утекают личные данные пользователя, в том числе и его текущее местоположение. Все данные складируются на серверах Гугла. Большое Зло ты не видишь?
| |
|
3.31, Аноним (30), 10:49, 07/09/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Большое зло это когда хакеры тебя фоткают чтобы слить извращенцам или шантажировать, когда крадут деньги. А то мой маршрут по городу который зашифрован так что сможет прочитать только ФБР - вот как раз это маленькое зло.
| |
|
4.41, Аноним (41), 11:31, 07/09/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Большое зло это когда хакеры тебя...
"Аналитики «Доктор Веб» и «Лаборатории Касперского» сообщают..." (c) xakep.ru
| |
|
5.57, Аноним (-), 14:32, 07/09/2021 [^] [^^] [^^^] [ответить]
| +3 +/– |
Остроумно. Антивирусы - это и есть шпионский модуль, а крякеры это аналитики из «Доктора Веба» и «Лаборатории Касперского»
| |
|
4.93, Аноним (93), 19:59, 07/09/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
>мой маршрут по городу который зашифрован
Твой маршрут по городу пара топтунов недалёкого ума срисует на раз-два. И тащмайору в лучшем виде доложит. Мир не ограничен рамкой твоего монитора, бро.
| |
|
3.74, Аноним (74), 16:28, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
А в банках появляются недовольные люди, у которых увели деньги с карты, привязанной к гугл плэй
| |
|
4.86, Аноним (86), 17:24, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
А в банках сейчас сотрудники подворовывают, притворяясь, что это не они деньги сперли, а гугл.
| |
|
5.91, Аноним (-), 18:30, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
А тот нашумевший лохотрон по имени - "звонок из службы безопасности банка"? Моё мнение, тут без участия кого-то из работников банка не обходится.
| |
|
|
|
2.7, Нанобот (ok), 08:09, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> после загрузки с него точно нужно сверить цифровую подпись
В статье по твоей ссылке написано, что пакет имел корректную цифровую подпись. А значит сверка подписи ничем не помогла бы
| |
|
3.8, nebularia (ok), 08:18, 07/09/2021 [^] [^^] [^^^] [ответить]
| +3 +/– |
Подпись была у официального клиента. А я пишу, что проверять надо подписи конечных пакетов, которые скачаны с APKPure, через клиент или нет.
| |
|
2.9, Глеб Кузьмин (?), 08:20, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Лол, так подпись была верная и проблема была в приложении магазина, а не в приложении из магазина.
| |
2.98, BrainFucker (ok), 22:26, 07/09/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
> нужно сверить цифровую подпись из источника типа Exodus.
Что за Exodus? А то бывает приходится брать приложение не из Гуглоплея (он у меня перестал работать), чтобы сверить подлинность тупо брал хеши (md5, sha) скачанного apk и гуглил плюс загружал на Virustotal, но то такое, официальной инфы-то нет нигде.
| |
|
1.5, Аноним (5), 07:49, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
А нафига оно нужно когда есть Aurora Store, который качает напрямую с Google Play и сверяет хеши?
Исходники открыты, можно еще спуфнуть девайс (планшет, тв, итд).
| |
|
2.11, Аноним (11), 08:36, 07/09/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Пару сценариев использования я вижу.
Например закачать нужные apk для установки их в Anbox.
Или чтобы выкачать программу и разослать всем сотрудникам по почте.
Прога нужна в ситуациях, когда нужно получить apk под системой отличной android.
| |
|
3.39, Аноним (30), 11:20, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Еще когда нужно за 1 раз установить на новый телефон свою коллекцию apk файлов, через adb с компа это делается 1 коммандой. А на Android придется тапать сотни раз. В ситуации когда меняешь аккаунт Google Play, я так делаю с покупкой нового устройства.
| |
|
2.14, Аноним (13), 08:53, 07/09/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
Aurora Store - для ведроидов. Это же консольная утилита, как для ведроидов с терминалом, так и для десктопа.
Помнится, был ещё YalpStore.
| |
|
1.12, ryoken (ok), 08:47, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
>>EFF опубликовал apkeep
>>Правозащитная организация Electronic Frontier Foundation (EFF) создала приложение akeep
Вы бы определились в показаниях. Ну или не пишите новостей по ночам :).
| |
|
2.18, Жироватт (ok), 09:13, 07/09/2021 [^] [^^] [^^^] [ответить]
| –2 +/– |
Опубликовано на векрифицированном гитхабе EFF...хм.
Рядом с нормальными проектами, которые уже желательно бы отправить на независимый аудит...хм!
Такое ощущение, будто им посадили "ПРОХРАММИСТА" aka сынка спонсора и племянника инвестора и теперь он ТВАРИТ. И слово поперек ему не скажешь - будет больно без денег папки.
| |
|
3.19, Аноним (15), 09:22, 07/09/2021 [^] [^^] [^^^] [ответить]
| –1 +/– |
Спасибо, что напомнил, удалил https everywhere, Это помойная шарага, давно уже понятно. Мои донаты не пошли на пользу, пойду задоначу в МС может она тоже навернётся.
| |
|
4.35, Аноним (35), 11:14, 07/09/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
Так уже и хром и лиса в первую очередь пробуют загрузить сайт по https и только в том случае, если его нет, обращаются к http. Так что, это расширение не нужно уже
| |
|
|
|
1.20, Жироватт (ok), 09:23, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
"Приложение" по итогу оказалось простой оберткой над http request-responce на 80 строк реального кода.
Блин, EFF, я был о вас гораздо большего мнения.
Такое можно видеть в гитхабе ну, допустим, у только-только начинающего джуна. Или у студиозуса, у которого это первая лабораторная второго семестра и он выложил её для проверки лаборанту. Ну или у самоучки, пробежавшегося по задачнику Шеня и теперь пытающегося сделать что-то реально полезное вместо выхолощенных упражнений.
| |
|
2.24, www2 (??), 09:52, 07/09/2021 [^] [^^] [^^^] [ответить]
| +1 +/– |
С какого количества строк начинаются "серьёзные приложения"?
Это вроде не портфолио для собеседования, я просто полезная программа, дающая людям чуть больше свободы.
| |
|
3.26, Жироватт (ok), 10:12, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
>Это вроде не портфолио для собеседования,
Сынок, ты реально не понимаешь разницу между:
> Студент выложил на личный гитхаб небольшую quick&durty утилиту, которой простительны и отправка открытым текстом пароля, и грязный код
> Ведущая правозащитная организация выкладывает на своем верифицированном гитхабе небольшую quick&durty утилиту, котолрой почему-то непростительны и отправка открытым текстом пароля, и грязный код | |
|
4.29, Аноним (29), 10:43, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Какая там может быть разница, если написанное первым выложила вторая? Можно лишь порассуждать про отсутствие энтузиазма у путных профессионалов и их же развращенность зряплатами до колен. А вот истерика "от этой вывески не ожидал" выглядит глупо.
| |
4.89, Аноним (-), 17:56, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Возможность скачать с GP
это все-таки возможность при открытом пароле.
Зачем ее для этого использовать? Хмм
Ну это вопрос
| |
|
|
2.77, And (??), 16:36, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> "Приложение" по итогу оказалось простой оберткой над http request-responce на 80 строк реального кода.
И хорошо. Т.к. этот реквест составить - целая морока для многих. А здесь в утилиту завернули. Спасибо им за полезный инструмент, облегчили жизнь.
| |
|
1.21, www2 (??), 09:40, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
>пароль передаётся открытым в числе аргументов, что создаёт опасность его утечки через буфер с историей операций в командной строке
Пробел в начале строки к команде добавлять не пробовали?
| |
1.23, Аноним (23), 09:49, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Эх, ещё раз посмотрел на исходники на Расте. Что-то удобнее, но точно не чтение кода, хотя тут скорее как с JS - зависит от разработчика, можно так и сяк.
| |
|
2.43, Урри (ok), 11:40, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Истины ради код вполне читабельный. Похуже С++, конечно, но ничего непонятного.
| |
|
|
|
|
4.69, Anonymoustus (ok), 16:06, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> если бы портянка. одна строка же!
Целая строка портянок на баше! Срочно переписать на расте!
| |
|
|
|
|
4.113, Аноним (-), 01:01, 10/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
ты попробуй сначала
и у тебя нифига не получится
там дофига моментов
| |
|
5.115, Урри (ok), 13:18, 12/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
В исходники тулы глянь для начала. А потом уже заявляй.
Я - смотрел. И таки на баше это действительно можно легко сделать.
| |
|
6.117, Аноним (-), 10:25, 13/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
там дофига моментов которые всплывают только когда реально пробуешь
иначе этих обновлялок было бы дохрена и больше
| |
6.120, Аноним (-), 23:37, 15/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
и чё?
где твой работающий скрипт в одну строку которым можно закачать хоть какое апк?
малолетние болтуны тут)
| |
|
7.121, Урри (ok), 13:11, 16/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> и чё?
> где твой работающий скрипт в одну строку которым можно закачать хоть какое
> апк?
Две бутылки джека дениелса - и скрипт будет твой. Согласен?
| |
|
|
|
|
|
|
|
|
3.76, And (??), 16:32, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Просто те, кто пользуется, там где пользуются, тогда у этого пароля ценность околонулевая. Можно передавать параметрами, можно просто опубликовать - пароль не ведёт к чему-то, что нельзя получить с любой другой УЗ бесплатно.
Если хватило ума построить хозяйство, вложить денег и этот пароль от такого хозяйства, то да - проблема. Но такие хозяйства строят далеко не все.
| |
|
2.80, Аноним (-), 16:57, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
man curl
-u, --user <user:password>
Specify the user name and password to use for server
authentication.
-U, --proxy-user <user:password>
Specify the user name and password to use for proxy
но "Это другое!"
| |
|
3.82, Юрий (??), 17:09, 07/09/2021 [^] [^^] [^^^] [ответить]
| –5 +/– |
Еще туева хуча утилит делает так же. Но докопались именно до этой, она же на Rust.
| |
|
4.95, Аноним (-), 21:25, 07/09/2021 [^] [^^] [^^^] [ответить]
| –4 +/– |
> Еще туева хуча утилит делает так же. Но докопались именно до этой, она же на Rust.
Э-э не, вы не поняли фишки.
Сделали бы по другому или использовали kwallet/keyring - писали бы "Фу, опять хрустики свой велосипед изобрели!" или "фу, опять хрустоблоатварь для простой задачи тянет тонну зависимостей!".
Это как в том анекдоте: "Почему без шапки?!"
| |
|
3.84, Anonymoustus (ok), 17:19, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> но "Это другое!"
Конечно, другое. Вот же тебе по-русски написано:
> Поддерживается и прямая загрузка с Google Play, но для этого необходимо указать данные для входа (пароль передаётся открытым в числе аргументов, что создаёт опасность его утечки через буфер с историей операций в командной строке).
Надеюсь, ты только маленький начинающий девопс, а программы не пишешь. И не пытайся, не твоё это.
| |
3.107, Анонии (?), 07:23, 08/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
Да, это другое. В apkeep пароль можно задать _только_ в командной строке, а в curl на выбор есть варианты - пароль можно передать через файл или, если указать только имя, он отдельно попросит ввести пароль после запуска команды.
| |
|
|
1.51, pavlinux (ok), 13:32, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> ... пароль передаётся открытым в числе аргументов, что создаёт опасность
> его утечки через буфер с историей операций в командной строке ...
В баше ставьте пробел перед командой, тогда она не сохраниться в истории.
| |
|
2.70, Аноним (65), 16:08, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
О да безопасность уровня раст. То что любой кто может читать списов запущенных процессов может получить этот же пароль это вообще пофиг хрустики даже не знают таких команд.
| |
|
3.83, Аноним (-), 17:11, 07/09/2021 [^] [^^] [^^^] [ответить]
| +2 +/– |
> О да безопасность уровня раст.
> хрустики
Клоунада уровня опеннета.
curl
-u, --user <user:password>
Specify the user name and password to use for server
wget
# Log in to the server. This can be done only once.
wget --save-cookies cookies.txt \
--post-data 'user=foo&password=bar' \
http://example.com/auth.php
> То что любой кто может читать списов запущенных процессов может получить этот же пароль это вообще пофиг
И злобная малварь из под того же юзера (или вообще рута), не сумев прочитать пароль от мусорного гуглоаккаунта в аргументах, от расстройства и сбоя логики самоликвидируется и компуктер вновь станет безопасТным ...
| |
3.118, pavlinux (ok), 19:42, 13/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
> О да безопасность уровня раст.
Твоя читать умеет?
>> ... утечки через буфер с историей операций в командной строке ...
Другого не было в ТЗ.
> То что любой кто может читать списов запущенных процессов может
> получить этот же пароль это вообще пофиг хрустики
> даже не знают таких команд.
$ export HISTSIZE=0 HISTFILESIZE=0;
$ firefox https://www.base64encode.org/ ... copy-n-paste
$ PASS='0J/RgNC40LLQtdGCLCDQu9C+0YXQuAo='
$ apkeep -a com.instagram.android -d GooglePlay -u 'someone@gmail.com' -p "$(echo $PASS | base64 -d)"
$ ps ax | grep apkeep
4622 pts/0 S+ 0:00 apkeep -a com.instagram.android -d GooglePlay -u 'someone@gmail.com' -p "$(echo $PASS | base64 -d)"
Как всунуть ввод с клавы или chachapoly в stdout сам осилишь?
| |
|
2.71, Anonymoustus (ok), 16:08, 07/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
>> ... пароль передаётся открытым в числе аргументов, что создаёт опасность
>> его утечки через буфер с историей операций в командной строке ...
> В баше ставьте пробел перед командой, тогда она не сохраниться в истории.
Это уже утраченное на опеннете знание. :)
Впрочем, оно не спасает от кейлоггеров.
| |
|
3.119, pavlinux (ok), 19:49, 13/09/2021 [^] [^^] [^^^] [ответить]
| +/– |
>>> ... пароль передаётся открытым в числе аргументов, что создаёт опасность
>>> его утечки через буфер с историей операций в командной строке ...
>> В баше ставьте пробел перед командой, тогда она не сохраниться в истории.
> Это уже утраченное на опеннете знание. :)
> Впрочем, оно не спасает от кейлоггеров.
Шоб всунуть куйлогер в систему, нужно иметь доступ уровня Бог, а с таким уровнем кейлогер нахрен не нужен.
| |
|
|
1.59, кек (?), 14:56, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Они про apk-dl.com не слышали? Пароль им подавай, прям счас.
| |
1.100, Юрий (??), 23:11, 07/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
Как же вам не нравится когда лицом в очевидное тыкают. Даже комментарии потерли.
| |
1.114, Fedd (ok), 11:06, 12/09/2021 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Для прямой загрузки скорее всего не достаточно завести новый акк, к нему должно быть привязано устройство с device id и хотя бы одно приложение скачано через маркет.
| |
|