1. Куча / Говнокод #21863

    −14

    1. 1
    2. 2
    3. 3
    4. 4
    You should sign all of your APKs with the same certificate throughout the expected lifespan of your apps.
    If you plan to publish your apps on Google Play, the key you use to sign those APKs must have a validity period ending after 22 October 2033.
    The public-key certificate serves as as a "fingerprint" that uniquely associates the APK to you and your corresponding private key. 
    This helps Android ensure that any future updates to your APK are authentic and come from the original author.

    Короче, рахитекторы гугла (которые, как мы знаем, всего-лишь разработчики, дольше других работающие в компании и потому знающие больше костылей и граблей) придумали охуенную тему с заливкой приложений в свой маркет. Генерируешь пару ключей, подписываешь APK, при первой заливке в маркет твой публичный ключ запоминают, и все последующие апдейты этого приложения будь добр подписывай той же парой ключей.

    Если ты проебал ключ, ты больше не можешь обновить своё приложение. Если кто-то спиздил твой ключ (а ведь обычно такую хуиту более 1 разработчика могут хранить), ты больше не можешь обновить своё приложение. Если последний разработчик съебался с приватным ключом, ты больше не можешь обновить свое приложение.

    Гугл, 2016 год на дворе. Почитай про сертификаты, УЦ, CRL. Включи голову. Управлять запросами на получение, сертификатами, их сроком жизни длиной в год-два, а не двадцать, списком отзыва (т.к. приватный ключ легко проебать) из личного кабинета - это не так и сложно. Проверять на устройстве Subject сертификата, корректно подписанного доверенным УЦ, вместо того, чтобы кешировать публичный ключ (я ведь правильно понял твою систему?) не так и сложно.

    Что за пиздец? Не ожидал такого от них.

    Запостил: defecate-plusplus, 19 Декабря 2016

    Комментарии (40) RSS

    • #seo #google-is-a-piece-of-shit #славаСХМ
      Ответить
    • Пиздец будет, когда я залью своё семя в твои дыхательные пути.
      Ответить
      • - Давай-ка задом, мила, - я шлёпнул Елену по ляжке, и она неловко перевернулась, встала на колени, высоко подняла зад.
        Ответить
      • Из кoлeи выбилo кaпитaльнo и, приeхaв нa aвтoбусe oбрaтнo в Oзёры, купил в мaгaзинe вoдки, нaпился дoмa, в oднo лицo, дo свинскoгo сoстoяния.
        Ответить
    • > ты больше не можешь обновить свое приложение
      А вот он - сможет. И не дай бог он на тебя обиду затаил...

      > Почитай про сертификаты, УЦ, CRL.
      Блин, даже тор, с его анонимностью и децентрализованностью, додумался разделить identity key (вечный, который можно хранить подальше от сервака) и onion key (на месяц, не так страшно проебать, подписанный тем самым identity key). А гугло-дауны каждого разраба заставили играть в УЦ со вполне предсказуемыми последствиями...
      Ответить
      • Он тоже не сможет. Ему надо сначала в кококонсоль девелопера залогинится, так что ему еще и почту мою угнать надо.
        Ответить
      • > identity key

        и что будет если потеряшь/украдут identity key? те же самые яйца - вид сбоку.
        Ответить
    • > кешировать публичный ключ
      Причём кешируется оно, насколько помню, прямо на девайсе. Так что даже Всемогущий Гугол не поможет перенести данные юзера в новую версию, если разраб золотой ключик проебал.
      Ответить
      • У жeны oкaзaлся любoвник, и я уeхaл, брoсив всё, в дaльнee Пoдмoскoвьe, гдe у мeня былa oднoкoмнaтнaя квaртирa
        Ответить
    • > рахитекторы гугла которые, как мы знаем, всего-лишь разработчики

      Тут не в рахитекторах дело, такое должны специально выделенные безопасники инспектировать. То ли они тогда проглядели, то ли это отклики того, что андроид когда-то был секретным стартапом и безопасников до него толком не пустили, и стартаперы сделяли как могли. Или тупо решили переложить всю боль на разработчиков. Я не знаю.

      Вообще говоря, каждый всего-лишь разработчик должен такие косяки видеть.

      Кстати, даже с такой простейшей системой сертификатов разрабы творят тупейшие косяки: подписывают приложения тестовыми ключами, подписывают тыщи приложений одним и тем же ключом, etc:
      http://researchcenter.paloaltonetworks.com/2014/08/bad-certificate-management-google-play-store/
      Ответить
      • > разрабы творят тупейшие косяки
        Да что далеко ходить... s-a--m даже учётку от ГК так потерять умудрился, закоммитив пароль от ключа (а заодно и своей мыльницы) на github.
        Ответить
        • >>закоммитив пароль от ключа (а заодно и своей мыльницы) на github.
          хахаха
          фейл
          Ответить
          • – У вас у мужиков, по утрам, он безо всякого возбуждения так торчит, что любо дорого. Ну, вот я… и… – Я закрыл ей рот поцелуем, а когда оторвался, то зашептал ей в лицо
            Ответить
        • Потом ее перевернули на живот, и стали трахать в попу, снова один за другим, матерясь и нанося удар за ударом.
          Ответить
      • > подписывают приложения тестовыми ключами, подписывают тыщи приложений одним и тем же ключом
        И что характерно, гугл мог бы это тестовое говно отфильтровать на уровне плеймаркета даже при текущей схеме.
        Ответить
        • Потом парень заканчивал, снимал презик, бросал его на пол, а эта самка ожидала следующего героя. Иногда за вечер через Наткину вагину «проходило» до двух десятков парней!
          Ответить
          • Из кoлeи выбилo кaпитaльнo и, приeхaв нa aвтoбусe oбрaтнo в Oзёры, купил в мaгaзинe вoдки, нaпился дoмa, в oднo лицo, дo свинскoгo сoстoяния.
            Ответить
      • > подписывают тыщи приложений одним и тем же ключом
        You should sign all of your APKs with the same certificate throughout the expected lifespan of your apps. Всё по гайдлайнам.

        https://developer.android.com/studio/publish/app-signing.html#considerations
        Ответить
        • дернул твой анус газовым ключом, проверь
          Ответить
          • Развальцевал твой анус, проверь.
            Ответить
            • -Да, мамочка, ты классная блядь! Юрка принялся целовать маму взасос…
              Ответить
            • - Сидим, пьём, а Артур Атарбекович в Лондоне важные переговоры ведёт. Если у него всё получиться, то для нас будет очень хорошо.
              Ответить
          • – У вас у мужиков, по утрам, он безо всякого возбуждения так торчит, что любо дорого. Ну, вот я… и… – Я закрыл ей рот поцелуем, а когда оторвался, то зашептал ей в лицо
            Ответить
        • – Вот то-то и оно… – проговорила, Марго вытирая салфеткой губы, – любишь. А эта блядища этого не ценит!
          Ответить
      • > Кстати, даже с такой простейшей системой сертификатов разрабы творят тупейшие косяки: подписывают приложения тестовыми ключами, подписывают тыщи приложений одним и тем же ключом, etc:

        от гугля решения ждать не стоит. они людей не любят, и с людьми работать не хотят. а для CA (или какой keystore) нужно постоянно с людьми работать.

        хотя по крайней мере они могли бы забанить крякнутые и тест/демо ключи.
        Ответить
        • По-моему, решение гугла имеет свои плюсы, этакая двухфакторная аутентификация для бедных.
          Украденный у очередного раздолбая-разработчика смартфон = доступ к его гуглоаккаунту и почте, а из почты - доступ ко всем остальным аккаунтам, даже к требующим подтверждения по смс (потому что это же смартфон). Соответственно берешь и присылаешь троян всем миллионам пользователей его фонарика. А вот ключ на смартфоне (почти) ни один разработчик хранить не будет, и потому пользователи могут спать спокойно - ключ в репе без угнанного аккаунта бесполезен, ноутбуки крадут намного реже телефонов, на ноутбуке может не оказаться пароля от почты и сорцов могут тоже не найти\не искать.

          Но тестовые ключи да, могли бы и забанить.
          Ответить
          • Я достаточно долгое время живу за рубежом, поэтому как-то проще уделять время своим шалостям. Никто особо не третирует за вопрос бисексуальности, хотя и в самой моей бисексуальности есть тонкости.
            Ответить
      • – У вас у мужиков, по утрам, он безо всякого возбуждения так торчит, что любо дорого. Ну, вот я… и… – Я закрыл ей рот поцелуем, а когда оторвался, то зашептал ей в лицо
        Ответить
    • Уже узнавал. Гугл говорит, так пришлось делать из-за децентрализации, т.е., мол, плеймаркет не может выступать CA т.к. он не на всех девайсах ведь есть. Поэтому да — каким ключом была подписана программа при установке на девайс, только этому ключу отныне этот девайс и будет верить.
      Ответить
      • А цепочку сертификатов (хотя бы двух, как в том же торе) сделать тоже децентрализация не позволила?
        Ответить
      • А где Ваш камрад - Миозин?
        Ответить
        • Камрада нет, но вы там держитесь. Хорошего вам настроения!
          Ответить
        • – Вот то-то и оно… – проговорила, Марго вытирая салфеткой губы, – любишь. А эта блядища этого не ценит!
          Ответить
    • > Если ты проебал ключ, ты больше не можешь [...]

      так это нормально. потерял пароль к твоему зашифрованым данным - потерял данные. не уверен почему возмущаешься. хотя догадываюсь что ключик проябал и теперь с пеной у рта возмущаешься что это не твоя вина что у тебя бэкапов нету.

      уверен что можно было бы и лучше сделать, но проблема на самом деле не такая и большая. ключики же мелкие - в запароленом архиве их куда залить Н раз редундантно. если ты не идиот конечно, кто все важные данные на одном винте держит.

      да даже старый глупый метод: APK это контейнер - zip - я уверен что запароленый архив с ключиком можно прямо в APK внедрить как ресурс. потеряется только если ни одной копии приложения не осталось - или пароль забыл.
      Ответить
      • >запароленый архив с ключиком можно прямо в APK внедрить как ресурс
        Чтобы любопытные ктулхацкеры могли с комфортом брутить пароль к архиву с ключом прямо на локальной машине?

        Вот сделать так, положив в архив неправильный ключ, куда веселее...
        Ответить
        • > Чтобы любопытные ктулхацкеры могли с комфортом брутить пароль к архиву с ключом прямо на локальной машине?

          zip умеет AES шифрование. и как я понял, креки полагаются на распознование типа файлов внутри архива - для счастья добавить 10-20К мусора перед ключиком. и пускай брутят.

          > Вот сделать так, положив в архив неправильный ключ, куда веселее...

          стеганография: положить сто, и только один из них правильный.
          стеганография №2: положить сто, все неправильные.
          Ответить
        • - Я так раньше никогда не делала. Мне понравилось. А тебее? - сказала она после того, как я влил в неё свой заряд и, уставший, уселся прямо на ковролин на полу кабинета.
          Ответить
        • Входя в квартиру, они приветливо здороваются «Здрасьте, тёть Наташ!», а уже через десяток минут лежали на ее прекрасном теле, вгоняли в ее «пизду» свой «хуй»
          Ответить

    Добавить комментарий