Информационный портал по безопасности

Артем Азарьев, руководитель направления центра компетенций дистанционных каналов обслуживания дирекции информационных технологий МКБ



Привет, Хабр!



Меня зовут Артем Азарьев, я тимлид Android-команды Московского кредитного банка, и сегодня хочу поговорить о безопасности приложений с точки зрения библиотек для отладки. Пару лет я занимался фрилансом, затем уже 4 года занимаюсь полноценной разработкой под мобильную ОС. Так сложилось, что в годы своего фриланса ради повышения собственной квалификации я затронул тему реверс-инженеринга Android-приложений, и постепенно это превратилось в мое хобби.

Осенью 2018 года мы стартовали бесплатный курс Android Academy: Fundamentals.

Он состоял из 12 встреч и итогового 22-часового хакатона.

Android Academy — это глобальное комьюнити, зародившееся в Израиле, в Тель-Авиве, и распространившееся на Петербург, Минск и Москву. Когда мы запускали первый курс, то искренне верили, что таким образом сможем выстроить сообщество ребят, которым будет в кайф собираться вместе и учиться новым вещам. Хотели открыть новую дверь для всех, кто хочет и готов сделать шаг в профессию.

Сейчас, по прошествии нескольких месяцев, кажется, что это получилось: ребята научились основам, объединились в профессиональное комьюнити, а кто-то даже успел получить первое предложение о работе android-разработчиком.

Отчитываемся о том, как прошла Android Academy в Москве, делимся видеолекциями и рассказываем, как изменилась карьера у тех, кто окончил курс.

Я почти каждый день слушаю музыку на смартфоне и использую кнопки управления на гарнитуре. Но мне всегда не нравилась одна вещь. Я прихожу домой, продолжая прослушивание, гарнитура подключается к домашнему ПК — и внезапно кнопки перестают работать.



Конечно, я погуглил решение этой проблемы. К сожалению, на Windows эта замечательная функция не слишком поддерживается. Пара минут поиска дали только мутные упоминания на Stack Overflow о звуковых картах и сообщения некоторых людей, что на их ноутбуках всё работает нормально.



Меня это не испугало — и я решил принять проблему как интересный вызов: можно ли создать какую-то программу для активации кнопок управления, если аппаратной поддержки для них вообще нет? Ответ — да, можно. И вот как сделать это за полчаса.

В 2018-м, когда с помощью Android Pay возможно оплатить даже шаверму, смартфон оказывается для пользователя главным финансовым инструментом. Теперь люди хотят решать с его помощью вообще все вопросы, связанные с деньгами. А значит, соответствующие мобильные приложения стали особенно актуальны.



У финансовых приложений, разработанных в компании ЦФТ для различных заказчиков, суммарное число установок исчисляется миллионами — то есть немногие могут похвастаться таким опытом в этой сфере. Воспользовавшись тем, что компания присутствовала на нашей конференции Mobius, мы задали руководителю группы разработки Android приложений Михаилу Емельянову несколько вопросов о том, как в ЦФТ выглядит Android-разработка.

Привет! 3 марта приглашаем на встречу сообщества Mosdroid, которая пройдёт в офисе Avito. Регистрируйтесь на митап, приглашайте коллег. Поговорим о фреймворке Spock, нюансах обеспечения безопасности android-приложений и CI процессах. Под катом — программа встречи и тезисы выступлений, ссылки на регистрацию и видеотрансляцию митапа.

Серьезная уязвимость (CVE-2017-13156) в Android позволяет злоумышленникам изменять код в приложениях, не затрагивая их подписи. Корень проблемы состоит в том, что файл может быть действительным файлом APK и действительным файлом DEX одновременно. Назвали его уязвимостью Януса в честь римского бога двойственности.

Остался месяц до MBLTdev 2017. 27 октября в пространстве Digital October уже в 4-й раз пройдёт ежегодная конференция мобильных разработчиков.



Под катом: описания докладов Android-трека (про iOS рассказали вчера), CodeLabs, небольшой опрос и подарки от JetBrains и Skyeng.
->

Корпорацией Google разработан инструмент, позволяющий сделать интерфейсы мобильных приложений для OS Android более доступными для пользователей с ограниченными возможностями. Он представляет собой специальное приложение Accessibility Scanner, которое сканирует графический пользовательский интерфейс и выводит описание найденных проблем доступности и рекомендации по их исправлению. Accessibility Scanner может дать рекомендации по увеличению слишком мелких элементов управления, увеличению контрастности изображения, а также по добавлению к элементам управления текстовых меток, что в совокупности повысит удобство и доступность интерфейса.

Приложение Accessibility Scanner не требует для своего использования особых технических навыков и, помимо прочего, рекомендуется для использования обычными людьми, которые смогут сформировать отчёт по проблемному интерфейсу и отправить его разработчику. То есть в обозримом будущем многие Android-разработчики могут начать получать описание проблем доступности их приложений в подобной стандартизированной форме. Им останется только понять, что же именно имеет ввиду Accessibility Scanner.

Android OS, если сравнить её с Windows, Linux или OSX, система молодая. Однако, ей пользуются более миллиарда человек. Как именно они работают с Android? Как сделать систему быстрее и удобнее? Новизна платформы не позволяет дать чётких ответов на эти вопросы. Более того, сценарии взаимодействия пользователей с Android-устройствами и приложениями постоянно меняются, нередко – довольно сильно и неожиданно.


Для исследования особенностей взаимодействия пользователей с различными программными и аппаратными комплексами создают особые тесты, так называемые варианты или сценарии использования систем (use cases). Их ещё называют «рабочими нагрузками» (workloads). Всё это – модели реально существующих сценариев работы, настоящими приложениями они не являются. В применении к Android, подобные тесты можно использовать для измерения и улучшения производительности.

Хотя рабочая неделя и выдалась короткой, но есть о чем поговорить – Microsoft купила, наконец, Xamarin, мы узнали куда катится embedded-мир, Apple опубликовала уроки TV Tech Talks, мы снова обсудили альтернативы Parse. Все это и многое другое в новом дайджесте!