Google tłumaczy, dlaczego złamano zabezpieczenia Androida

25.08.2010 11:31, Autor: Wojciech Kowasz (Docent), Kategoria: News
NewsImage

Wczoraj pisaliśmy o dość trywialnym złamaniu zabezpieczenia aplikacji sprzedawanych w Android Market. Teraz Google tłumaczy, dlaczego do tego doszło.

Na oficjalnym blogu Android Developers Tim Bray z Google odnosi się do opublikowanej metody złamania zabezpieczenia opierającego się na usłudze Android Licensing Service, dzięki czemu możliwe jest uruchomienie pirackiej aplikacji wymagającej do pracy autoryzacji serwera licencyjnego Google. Wczoraj, podobnie jak autor sposobu na ominięcie zabezpieczenia, zwracaliśmy uwagę, że mechanizm zaoferowany przez Google nie należy do szczególnie wyrafinowanych. Co na to Google?

Bray pisze, że choć oczywiście każde zabezpieczenie da się złamać i przypadek Androida nie jest wyjątkiem, to jednak największy błąd popełniają tu programiści. Po pierwsze wykorzystują oni usługę w czystej postaci dostarczonej przez Google, a tak naprawdę - tłumaczy Bray - jest to tylko platforma do tworzenia zabezpieczeń, który każdy producent powinien samodzielnie opracować. Ponadto deweloperzy zapominają o obfuskacji (zaciemnianiu) kodu, co dodatkowo ułatwia dekompilację i ingerencję w zabezpieczenia. Jednocześnie Bray deklaruje, że firma Google jest świadoma potencjalnych słabości mechanizmu licencyjnego i będzie stale go udoskonalać.

r   e   k   l   a   m   a

Komentarze (23)  

AvatarUżytkownik jest nieaktywny
an.szop | 25.08.2010 11:47#1

LoL. Google się poniża jak ostatnio Apple z anteną tłumacząc się, że reszta też tak ma.

A wracając. Czyli, że niby ja jako developer aplikacji muszę jeszcze wymyślać jakiekolwiek zabezpieczenia aby nie kradli mi programu z platformy Google? Heh. Śmiech na sali.
To Google powinno dostarczyć pełny mechanizm do zabezpieczeń. A nie tłumaczyć się, że to tylko "platforma do tworzenia zabezpieczeń".

Takie tłumaczenie wymyślili pewnie dla szaraków, którzy niezbyt się znają.

Google coraz bardziej zaczyna się pogrążać.

Pozdrawiam

AvatarUżytkownik jest nieaktywny
scripter1 | 25.08.2010 11:53#2

Typowe, próbują teraz zrzucić odpowiedzialność na programistów aplikacji wykorzystujących ten ich mechanizm.

Mają trochę racji z tym zaciemnianiem kodu ale nie zmienia to faktu że to google odwaliło fuszerkę i wypuściło badziew.

Martwi mnie tylko polityka firmy która uwidacznia się w tej reakcji google: jakby co to umywamy ręce i zwalamy winę i odpowiedzialność na innych wszelkimi możliwymi sposobami...

Avatar
jancio_w (niezalogowany) | 25.08.2010 12:00#3

No i właśnie dorobiliśmy się nowego polskiego słowa - obfuskacja
lol

Avatar
Raid (niezalogowany) | 25.08.2010 12:11#4

Odnoszę wrażenie, że Google umywa ręce od kwestii zabezpieczeń i ostro pogrywa z developerami. Nieuchronnie zmierza to do zmierzchu zainteresowania platformą Google przez dużych developerów oraz tych niezależnych, którzy mogliby wytoczyć ciężkie działa (czyt. płatne aplikacje najwyższej jakości). Jako developer nie widzę najmniejszego powodu dla którego miałbym zmienić App Store na Android Market.

Avatar
dz (niezalogowany) | 25.08.2010 12:24#5

To teraz spodziewajmy się od google PŁATNEGO obfuscatora,
kompatybilnego z ich platformą, który pomoże zapewnić
dostateczną ochronę.


Przecież zdecydowanie mogli użyć języka Vala,
który jest kompilowany do kodu natywnego,
a jest językiem wysokopoziomowym
(składnia bardzo zbliżona do Javy i C#,
z własnym garbage collectorem)
i platforma jest dostępna od tak dla systemów
linuksowych w ramach bibliotek Gnome
- uniknęli by problemów z licencjonowaniem.

Avatar
Gril (niezalogowany) | 25.08.2010 12:26#6

@wozniak.daniel LoL. Google się poniża jak ostatnio Apple z anteną tłumacząc się, że reszta też tak ma,

Mam tego IPhona i nawet jak łapie za antene nie trace zasięgu nie wiem o co chodzi w tym? Jak dla mnie wszystko ok a no i za free dostałem pokrowiec :D

AvatarUżytkownik jest nieaktywny
scripter1 | 25.08.2010 12:30#7

@Raid: A co jako developer myślisz o platformie Samsung Bada, bo mnie wydaje się ona interesującą alternatywą?

AvatarUżytkownik jest nieaktywny
Maciej_S | 25.08.2010 12:31#8

@Gril
Widocznie źle chwytasz za tę antenę. Spróbuj jeszcze raz - najlepiej obiema rękoma :-D

Avatar
Raid (niezalogowany) | 25.08.2010 12:52#9

@scripter1
Jakiś czas temu rzuciłem okiem na stronę dla developerów Bada. Ogólne wrażenie pozytywne - C++, kompilacja do kodu natywnego, przyjemne API, mnogość tutoriali na stronie, sklep Samsung Apps. Tylko jaka przed tym przyszłość? Apple i Android mają, że tak powiem, większą widownię podczas gdy Samsungowi brak siły przebicia z nowym systemem. Nie chcę wróżyć przyszłości z fusów ale korzyści z programowania Bada póki co mogą być mizerne i nie przyciągnie poważnych developerów. Czas pokaże jak Samsung rozwinie temat.

Avatar
Raid (niezalogowany) | 25.08.2010 12:53#10

@Gril
Masz jakiś wadliwy model skoro z anteną wszystko w porządku ;)

AvatarUżytkownik jest nieaktywny
kkthx | 25.08.2010 13:05#11

bada OS jak do tej pory nie został złamany.
nie ma jak na razie żadnych nielegalnych wersji aplikacji.

A to oznaczy tylko tyle że bada pod kątem bezpieczeństwa dla developerów jest bardzo dobra.

Jest tylko jedno wyjście. Chcesz program, grę ? musisz ją kupić.

innego wyjścia nie ma...

AvatarUżytkownik jest nieaktywny
Pigmej | 25.08.2010 13:16#12

Jestem ciekawy czy ktokolwiek z 'krytykujących' zdaje sobie sprawę z 'podstawy' problemu.
Programowanie na Android to ~Java. A Jave mozna 'zdekompilowac' czyli odwrocic proces kompilacji. To chyba logiczne po takim procesie mozna 'usunac' z kodu dane fragmenty i skompilowac go ponownie juz 'bez zabezpieczenia'. Jak programista nie umie sobie z tym poradzic 'to jego problem'.

AvatarUżytkownik jest nieaktywny
an.szop | 25.08.2010 13:29#13

@scripter1
Bada? Ja Ci opdowiem jak mogę.

Sam się interesuję tym system, ponieważ wolę systemy oparte na natywnych językach. A pozatym widzę w tym systemie spore możliwości. Z tego też powodu kupiłem sobie w dniu premiery Samsung Wave, aby tylko pisać i sprawdzać aplikacje na tym systemie. I powiem tylko jedno. Bardzo dobrze to chodzi i przyjemnie się pisze - jeśli chodzi o C++.

Przy okazji to Obj-C+Cocoa też fajna zabawka, ale prawde mówiąc nadaje się do tworzenia aplikacji mało wymagających. Bo i tak wszystkie rzeczy jakie są potrzebne są robione w C/C++, a sama logiga podpięcia pod iOS'a jest robiona w ObjC+Cocoa.


@dz (niezalogowany)
Właśnie zdecydowanie nie mogli. Google chciało, aby mieć kontrolę nad programem i aby był uruchamiany w tzw piaskownicy. Wtedy otrzymuje się większą stabilność systemu, bo dzięki temu aplikacje zarządzane nie mają dostępu do środka systemu.

@Raid (niezalogowany)
Prawda taka, że też bym nie wymienił AppStore na Android Market. Pomimo restrykcji jakie narzuca Apple, to jednak jest dużo lepszą platformą. A to właśnie dzięki tym restrykcją. Sprawdzają czy aplikacja działa dobrze czy nie. Do tego nie umożliwiają do końca wykorzystać wszystkich mozliwości tel (jak w przypadku np przycisków do głośności w innym celu - radykalne, ale skoro ma wnieść jakieś błędy, to po co udostępniać - inna sprawa, że to co jest powinno słuzyć temu do czego zostało stworzone - różne zdania ;) )

Sam tworzyłem trochę na iPhone/iPod/MacOSX, ale ze względu na sytuację prywatną nie byłem w stanie powrócić do tego przez dłuższy czas.
(może kojarzysz kurs Sannindana z myapple? - ten typ to ten sam co teraz pisze ;) - może kiedyś skończy ten kurs)




Pozdrawiam

AvatarUżytkownik jest nieaktywny
Ohheh | 25.08.2010 13:34#14

@kkthx a Ty dalej z tą badą ...ehh po co kto ma się wysilać z łamaniem zabezpieczeń jeśli procent użytkowników tego systemu na rynku jest znikomy.

AvatarUżytkownik jest nieaktywny
an.szop | 25.08.2010 13:39#15

@kkthx
Nie trzeba łamać systemu, żeby mieć "nielegalne aplikacje".

@Ohheh
A może kkthx, to ktoś od marketingu Bada? ;)

Pozdrawiam

AvatarUżytkownik jest nieaktywny
Mariosti* | 25.08.2010 15:28#16

@Ohheh

Taaa a android w bardzo drogich smartophonach, podobnie jak ios w jeszcze droższych iphone'ach są baaardzo popularnymi systemami w skali telefonów komórkowych ;]

AvatarUżytkownik jest nieaktywny
MaC1u5 | 25.08.2010 16:55#17

@Mariosti*
W USA jest dość sporo ludzi a 50% z nich używa iPhone troszkę mniej BlackBerry a reszta to już różnie, no i Android dogania czołówkę. A Samsung... no chyba już nic nie trzeba mówić.

To przykład ameryki w Europie i Azji sytuacja może być lepsza dla samsunga ale nie wiele.

Avatar
grzesiek1651 (niezalogowany) | 25.08.2010 17:01#18

@Mariosti*

Na pewno popularniejszy niż jakaś tam Bada i na pewno tak pozostanie. Co do tej ceny to można dyskutować. Samsunga i5700 kupisz za 600 zł nowego z Androidem 2.1 na pokładzie, więc nie jest to chyba wygórowana cena za smartphone'a?

Co do Iphone'a muszę się zgodzić, ale moim zdaniem to zabawka dla lanserów i produkt, który niczym się nie różni od innych high-endowych smartphone'ów z wyjątkiem logo Apple, które tak magnetycznie przyciąga co niektórych. Napewno Apple ma najlepszy marketing, a klienci gotowi zapłacić parę tysięcy złotych za takiego Iphone'a finansują ten marketing.

Avatar
rafa_es (niezalogowany) | 25.08.2010 19:16#19

wozniak.daniel
miales iPhone 4 w rekach ?
watpie...
bo ja nie mam zadnych problemow z zasiegiem!

AvatarUżytkownik jest nieaktywny
an.szop | 25.08.2010 23:08#20

@rafa_es (niezalogowany)
Skoro jesteś jasnowidzem, to w totolotka nie wygrasz (oczywiście jak grasz).

To , że Ty nie masz takiego błędu nie oznacza że ktoś inny nie ma.

To powiedz mi czemu Steve Jobs przyznał się do błędu z zasięgiem?!
Nie, poczekaj! Przecież Jobs tez nie miał iPhona w ręku.

A może jednak chciałeś się pochwalić tym, że kupiłes sobie drogą zabawkę dla dzieci i musi o tym świat wiedzieć?
Bo jak byś nie wiedział, to pierwszy lepszy Samsung Wave i Samsung Galaxy S sa o kilka lat lepsze niz ten Twoj iPhone. A do tego 3 razy tansze. Natomiast od iPhone 3GS i w dol jest setki tel lepszych.

Pozdrawiam

AvatarUżytkownik jest nieaktywny
Zonix | 26.08.2010 0:49#21

@Pigmej
"Jave mozna 'zdekompilowac' czyli odwrocic proces kompilacji. To chyba logiczne po takim procesie mozna 'usunac' z kodu dane fragmenty i skompilowac go ponownie juz 'bez zabezpieczenia'."

Niestety zdekompilowany program bardzo rzadko da się ponownie skompilować. Zwłaszcza że w artykule jest wskazówka jak utrudnić proces dekompilacji.
"Ponadto deweloperzy zapominają o obfuskacji (zaciemnianiu) kodu, co dodatkowo ułatwia dekompilację"

AvatarUżytkownik jest nieaktywny
an.szop | 26.08.2010 7:44#22

@Zonix
Jeśli chodzi o programy zarządzane napisane w Java, C# itp itd, to da się bardzo często da się ponownie skompilować. To jest kod CIL, który jest normalnym jezykiem opisowym dla kompilatora, który wie co i jak przetworzyć, a skoro kompilator już wie co i jak to może również przepisac ten sam kod CIL na kod np C#.



Pozdrawiam
PS.
Wiem, wiem CIL - .NET POdałem na tym przykładzie, bo niezbyt pamiętam jak się nazywa ten od Javy.

Avatar
0_o (niezalogowany) | 26.08.2010 21:39#23

LooooL nie moge! Inni tez tak maja juz gdzies to slyszalem,

Googlofile to łapią! Biedactwa....

Dodaj komentarz

Zasady publikowania komentarzy
Autor
Treść
 
Program tygodnia
GIMP 2.6.12

Ocena: 8,8
icon
Polecamy
Recenzja dysku Kingston HyperX

Tylko marketing czy coś jeszcze?
Dolina Charlotty
Top programy
  •  
Top programy ostatnie 7 dni
  •  
Top programy ostatnie 30 dni
  •  
Skanery antywirusowe
skaner av