--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Спасибо американским санкциям

Размышляем
1286
89
С друзьями на NN.RU
В социальных сетях
Поделиться
aleksey080
14.04.2020
хы... в плеймаркете забанили приложение "карта жителя НО". Работает пока только на яблоках... Кто то пользуется этой софтиной?
Divined
14.04.2020
Успел поставить на эмулятор. Сегодня пытался поставить на телефон. Уже нету.
Сейчас сделал в нем разрешение, скопировал экран и записал на телефон. Только таким кривым способом...
Эмулятор x86, а телефон Arm64. При попытке поставить сохраненный apk на телефон пишет ошибку.
Divined
14.04.2020
Таки справился поставить на телефон. Его блокирует Google Play. Но если это похерить, то все работает. В разделе "Мои заявки" показывает красивый QR.
Могу сюда выложить apk.
K0IIIAK
15.04.2020
Divined писал(а)
показывает красивый QR


покажи живой QR из этой софтины? можно использованный, можно в личку
жуть как интересно посмотреть, что в нём
Divined
15.04.2020
Как-то так
K0IIIAK
15.04.2020
covid_token, все дела....

интересно, если я нечто подобное патрулю покажу, но ссылка у него не откроется, хотя будет вести в том же направлении, меня долго задерживать будут?
Divined
15.04.2020
Ты мне скажи, даты входа-выхода там прописаны?
Если нет, то как бы пилевать на всё.
K0IIIAK
15.04.2020
я так понял, все данные хранятся на сайте, сам qr-код содержит только ссылку, твой например вот эту: nn-card.ru/policeman-page?co...2a347&id=1161409
из параметров "covid_token" и "id" и раздел сайта "policeman-page" как-бы намекает =)

соответственно, если у проверяющего есть право смотреть содержимое, он получит все данные, которые на сайте (заносил заявитель)
Qavai
15.04.2020
достаточно в кармане носить с собой глушилку сотового и все проверяющие выпадут в осадок
Работает у того, кто ранее поставил. Из ГП убрали за низкие оценки, как говорят.
А что за проблема зайти через браузер? Всё то же самое.
а оно надо? Я оооочень внимательно прочитал вчера пользовательское соглашение.. и нашел там интересные пункты... что софтина использует сторонние приложения для чтения кодов... (не указаны эти приложения и базы). и... бинго... "Все внешние ПО за исключением указанного в п. 4,3,4 предоставляются на условиях данного соглашения"... а п.4.3.4 нет
Divined
14.04.2020
Паранойя, паранойя, а я маленький такой. записывайтесь в секту параноиков Ансельма. Софтина использует стороннюю библиотеку для создания QR кодов, что естественно, ибо самому такое писать -- дело долгое, муторное и глупое.
Anselm
14.04.2020
не параноик, расскажи, зачем для подачи заявок функционал работы в фоне, отслеживания идентификаторов устройства и косвенная локация? ну и про микрофон не забудь
Divined
14.04.2020
В реальности там только разрешение на получение данных о твоем текущем месторасположении. Все остальные разрешения не используются. По факту приложение запрашивает только разрешение на локацию.
Причем, нормально работает после запрещения и этого разрешения.
Anselm
14.04.2020
Divined писал(а)
Все остальные разрешения не используются

каким образом установлено?
запрашиваются=могут быть использованы. и даже tcpdump не особо что доказывает. критерий их использования и передачи мы не знаем. и, согласно политики гугла, лишние разрешения-повод для бана
Divined
14.04.2020
Anselm писал(а)
запрашиваются=могут быть использованы

Не хочу ругаться, но упрямство твое безгранично. Опасные разрешения -- доступ к локации, к контактам, к карте, к камере и еще к чему не помню, да и не суть, операционка в андроидах старше 5 спрашивает в процессе использования. И если ты не разрешишь, то оно его и не получит, что бы ни было записано в манифесте.
Anselm
14.04.2020
не все разрешения запрашиваются, не только "опасные" по мнению гугла опасны.
ты можешь сказать, что работа в фоне и проверка доступных wifi сетей не опасна, а я знаю, что это может заменить gps с весьма нефиговой точностью при ряде условий

и в любом случае, лучше выпилить, чем верить.

ну и вот >>>
nn-card.ru/static/media/for_verifiers.1beb8e10.pdf
Divined
14.04.2020
Anselm писал(а)
это может заменить gps с весьма нефиговой точностью при ряде условий

И все это знают. И что? Проблема?
Выкинь телефон. Другого варианта нет. Тем более, что гугл про тебя и твою карту в любом случае будет знать все и без твоего спроса, если захочет или прикажет правительство. Про мои карты и счета, кстати, гугл ничего не знает и знать никогда не будет.
Могу рассказать, как сделать, чтобы твоя геолокация всегда врала, если телефон рутованный. Причем, врала на самом что ни на есть низком уровне, ниже всех гугл сервисов.
Anselm
14.04.2020
проблема не в том, что есть локация по сетям, а в том, что при запрете на локацию (да-да, твой скрин) она останется. а вот этого многие не знают. поэтому есть необходимость чистить приложение от лишнего
сейчас бы гуглу броситься и исполнять решения правительства третьих стран. и вообще, предполагается, что человек с айфоном-верит яблоку, с андроидом-гуглу. и потом, сравни шарагу, которая стоит за это картой нижегородца и гуглом.. кредит доверия вообще несравнимый
Divined
14.04.2020
Anselm писал(а)
(да-да, твой скрин) она останется

Ансельм, ты открываешь новые горизонты, которые кроме тебя, великого хакера, не знает даже гугл, создавший Android...
Anselm
14.04.2020
специально для тебя кидал из манифеста, там, где есть слово location-отключится. но для определения локации можно обойтись разрешениями со словом network и wifi. андерстенд?
Divined
14.04.2020
Эта программа, кстати, еще и в яндекс метрику лезет, поднимает популярность сайта nn-card.
Бойся, Ансельм, бойся!!! И этого тоже.
Ты так и не ответил, ты пользуешься Google Pay? ты его так рекламировал, так рекламировал...
Anselm
14.04.2020
скорее не популярность поднимает, а трекает деятельность пользователя, за что сразу анальный кол следует вбивать, на страницах с ПД никакой метрики быть не должно.

бургеркинг вообще писал видео на странице, где вводили данные карты, спалили, на хабре опозорили.

пользуюсь, я ж не власть, чтобы рекомендовать то, что сам не делаю
Divined
14.04.2020
*wall*
Яндекс метрика не занимается трекингом пользователя в смысле ггеолокации и прочих личных данных. Она занимается трекингом того, что ты делаешь на этом конкретном сайте, куда ходишь и сколько сидишь на страницах. В данном случае -- только по nn-card. Если б там реклама была, то и трекингом, куда кликаешь тоже.
Так это, скажу по секрету, и на любом сайте с подключенной метрикой. Использую с 2004 года.
Anselm
14.04.2020
я в курсе, в данном случае речь о том, что может собрать ПД
Divined
14.04.2020
Какие еще раз спрашиваю пд она собирает?
распиши, я это оттранслирую лично ком диру яндекса, чтоб у тебя что-нибудь отсудили за бездумный язык...
Anselm
14.04.2020
можешь лично директору буяндекса передать, что на участие в его "картах" изоляции люди согласия не давали. пожалуй, хоть какая-то польза будет
Divined
14.04.2020
Формально давали, когда выдали разрешения программам.
Anselm
14.04.2020
ну вот поэтому их многие и не любят, то шпионят и слушают микрофон, то карту строят, то кинопоиск испоганят, то винду людям обновлением диска сломают
Divined
14.04.2020
А ты в курсе, что твой вариант приложения не дает доступа к копипасте? Все данные приходится набирать вручную?
Anselm
14.04.2020
Прикинь, это указано в описании?
Да, разумеется в курсе. В буфере могут быть чувствительные данные и приложения могут их получать без твоего согласия, поэтому у этого приложения собственный буфер.
Divined
14.04.2020
А чем ломал? Как-то без влезания в код я даже и не умею.
Anselm
14.04.2020
Напиши мне в ФБ, тут я не готов предоставлять информацию.
Divined
14.04.2020
ок
Я же говорю: не хотите - не ставьте программу, используйте браузер.
Rory
14.04.2020
что вы все так вцепились в свои данные, давно они уже всем известны.
Хотя бы по тому количеству посторонних людей, которые звонят вам на телефон и называют по имени-отчеству.
Anselm
14.04.2020
звонить-звонят, не много. называть называют, но не верно. издеваюсь, тяну время, соглашаюсь на впариваемые услуги и кидаю
Rory
14.04.2020
с вашим то коварством разве боятся каких нибудь вшивых американских агентов ?!
Anselm
14.04.2020
я добрый, белый и пушистый. какое коварство?
Rory
14.04.2020
это маскировка
Divined
14.04.2020
Удобно показывать qr код без фотографирования экрана, которое, кстати, получается с жутким муаром.
нЭнС
15.04.2020

Йожыг
писал(а)
Из ГП убрали за низкие оценки

Сомневаюся я...Какое ГП собачье дело.что за 2 недели новорождённая прога не вышла на рекордные плюсЫ? Да ещё и в такое время и созданная с ТАКИМИ целями...?
Скорее вижу тут помощь наших заокеанских "друзей" с их укро-"рускоязычными" редакторами фильтрующими рунет.
FreeCat
16.04.2020
нЭнС писал(а)
созданная с ТАКИМИ целям

с какими "такими" :) ? она была в категории "финансы" :) . при этом делала совсем другое. Роботы Гугла поэтому и убрали её. Потому как не суди - а обман тут уже есть :) .
нЭнС
16.04.2020
ну,ХЗ...что там в реале-ни вы, ни я не узнаем.
Но остаюсь при своём.
Роботы-тупые ребята.Им что начальник над наладчиками скажет-так они вдруг и начинают.В одном глазу и соринку видят,в другом...
Anselm
14.04.2020
просто оставлю это здесь www.facebook.com/anselmnn/posts/2544156929232111
версия из маркета позволяет себе слишком много для своего функционала
Divined
14.04.2020
И что же она "позволяет"? Спрашивает твои координаты?
Anselm
14.04.2020
работа в фоне, сбор данных о wifi сетях, получение геолокации (в том числе косвенной), микрофон, данные imei/mac/imsi и т.д.
Divined
14.04.2020
А вот переделанное тобой приложение, я даже на эмулятор побоюсь поставить.
Anselm
14.04.2020
у меня бы не хватило ума переписать приложение на java, там просто подправлен манифест
C. Lee
14.04.2020
Эта поделка на ReactNative, т.е. JS поверх java. Возможно поэтому при простом функционале такой аццкий размер всего: apk, манифеста, кол-ва библиотек. Разрешения думаю тоже добавились на полуавтомате.
Anselm
14.04.2020
в описании для проверяющих что-то встречается про слежку. так что о случайности речь не идет
Зу
14.04.2020
красавчег!
судя по описанию заделано элегантное решение

ps только что прочитал, что подправлен манифест, очень хорошо
Anselm
14.04.2020
на самом деле ничего особенного нет.
да, исправлен манифест, при этом даже не руками, а определенным инструментом. для параноиков (ну мало ли я туда троянов насовал) я бы мог предоставить ссылку на конфиг инструмента, чтобы сами убедились, но оригинала больше нет
Зу
14.04.2020
Я догадываюсь, сам сейчас изучаю программирование под андроид. Просто захотелось похвалить и воодушевить.

Не надо ссылок, уж упаковать, в виме подправить и заново запаковать, как было, мне хватит гипоталамуса.
Anselm
14.04.2020
ну там не тупо упаковка. там еще что-то вставлено для подмены. то есть программа не поймет, что ей недодали, просто получит туфту.
примерно аналогично работает xprivacy для xposed framework, программа получает не отказ, а пустое значение
Политика конфиденциальности Сервиса<<Карта жителя Нижегородской области>>

"Лицензиар собирает следующие персональные данные Пользователя, включая:
- фамилия, имя, отчество;
- номер телефона;
- адрес электронной почты;
- тип документа, удостоверяющего личность и его данные (серия и номер, дата выдачи, дата окончания (если есть), кем выдан, код подразделения, дата рождения, место рождения, гражданство), полномочия;
- фотография;
- должность;
- профиль покупок;
- транзакционные активности;
- идентификаторы пользователя, использующего услуги Сервиса;
- месторасположение устройства пользователя;
- версия операционной системы и модель устройства;
- IP-адрес и адрес точки подключения пользователя;
- уникальный идентификатор устройства пользователя"

И возникает вопрос - для того чтобы я мог выйти из дома и не быть расстрелянным оштрафованным патрулём, они будут собирать транзакции оплаты(?) и отслеживать мои покупки?
Divined
14.04.2020
И как она все это собирает?
Пишут что-то про партнёров, про передачу наших данных им и получение данных о нас от этих партнёров, видимо, так...
Divined
14.04.2020
Даже с сайта nn-card.ru, с которым программа связывается, приложение может получить только серию и номер паспорта. Больше ничего на том сайте нет, а это мне не жалко.
Это Ансельм развел обычную свою паранойю. А поскольку она заразна, то и распространилась быстро.
Divined писал(а)
Больше ничего на том сайте нет

Вы не знаете, что там есть, Вы можете видеть только то, что Вам показали на определённой странице

Данные хранятся не на сайте, а в базе данных, и то что хранится в базе не обязательно должно быть полностью показано пользователям через страницу сайта
Divined
14.04.2020
Откуда оно на сайте возьмется, если я этих данных туда не положил?
Вася Пулькин в бане писал(а)
Пишут что-то про партнёров, про передачу наших данных им и получение данных о нас от этих партнёров, видимо, так...

ФИО, номер паспорта и адрес помогут однозначно идентифицировать Вас и попросить у партнёра-магазина информацию о Ваших покупках (если оформляли карту лояльности, то там наверняка спрашивали адрес, а может быть и паспорт, не помню точно), а у банка-партнёра получить Ваши транзакции по банковской карте (у них точно есть номер паспорта) И обобщив эти данные можно показывать Вам нужную рекламу (например). Или слить Вас налоговой, что на картах у Вас зарплата 10тр в месяц, а покупаете чёрную икру вёдрами :-)
Divined
14.04.2020
Номер паспорта и адрес, откуда и куда шел. Больше я туда ничего не выкладывал.
Да, в google analitycs данные действительно могут передаваться, вижу по манифесту. Только мой андроид про мою карту ничего не знает. В этом смысле уже я параноик и google pay не пользуюсь, в отличие от Ансельма, который это даже рекламирует.
Вы отдали ФИО, паспорт и адрес владельцам сайта, этих данных достаточно, чтобы точно идентифицировать, что Вы это именно Вы.

У сайта появились партнёры:
- магазин Шестёрочка, в котором Вы оформили карту лояльности указав ФИО, адрес и номер паспорта.
- банк СуперБанк, в котором у Вас есть зарплатная карта, и Ваши ФИО, адрес и паспорт
- рекламное агентство, которое будет скидывать Вам на телефон, почту (электронную или реальную) рекламу, с учётом доходов и расходов
- ФНС (им интересно всё :-) )

И для анализа Ваших финансовых возможностей, затрат, предпочтений в покупках будет происходить обмен данными

Уже не знаю, как это ещё проще объяснить :-)
Divined
14.04.2020
Так а причем тут телефон и эта программа?????
Это уже вопросы к владельцам сайта nn-card, вопросы к сберу и т.д.
Это был ответ на Ваш вопрос в начале этой ветки :-)
Divined писал(а)
И как она все это собирает?
Anselm
14.04.2020
ты дурак? манифест открой. не окошечко вот это, а сам манифест приложения
Divined
14.04.2020
Открыл и где ты видишь чтение чего-либо, кроме месторасположения?
К сообщению прикреплен файл:
247789471-androidmanifest.xml   (10 Kb)   Скачать файл
Anselm
14.04.2020
<uses-permission android:name="android.permission.ACCESS_NETWORK_STATE"/>
<uses-permission android:name="android.permission.ACCESS_WIFI_STATE"/>

это вот зачем?
Divined
14.04.2020
В общем, спрашивает разрешение на локацию и может передавать данные в google analytics (точнее -- уже в Firebase service).
Но получить с телефона он может только то, что я ему разрешил -- т.е. геолокацию. Ну, теоретически он может знать с сайта nn-card еще номер паспорта и точки передвижения. Всё.
Anselm
14.04.2020
кроме <uses-permission android:name="android.permission.ACCESS_FINE_LOCATION"/>
есть еще
<uses-permission android:name="android.permission.ACCESS_COARSE_LOCATION"/>
и
<uses-permission android:name="android.permission.ACCESS_LOCATION_EXTRA_COMMANDS"/>

так приложение может следить, даже если напрямую локация не включена.

еще может получать список учеток
<uses-permission android:name="android.permission.AUTHENTICATE_ACCOUNTS"/>
и зачем-то работать в фоне
<uses-permission android:name="android.permission.FOREGROUND_SERVICE"/>

впрочем, я тебя не уговариваю. нравится оригинал-флаг в руки, барабан на шею. для подозрительных специально написал, что ИЗМЕНЕНИЙ В САМО ПРИЛОЖЕНИЕ НЕ ВНОСИЛОСЬ.
Divined
14.04.2020
Сразу здесь на все вопросы.

1. ACCESS_NETWORK_STATE -- это всего лишь узнать, включен ли интернет на телефоне. WIFI -- аналогично.
Сама программа представляет собой только интерфейс (wrapper) между сайтом nn-card.ru и тобой при помощи андроида или айфона. Т.е. программа запрашивает разрешение на выход человека у сайта, передает туда данные твоего запроса и получает ответ, а потом транслирует сгенерированный QR-код на телефон. Возможно еще и само генерирует этот код в соответствии с правилами администрации. Т.е. без интернета это приложение не работает, что я уже проверил. Разрешения на выход не дает.

2. AUTHENTICATE_ACCOUNTS. Если ты не дашь доступ к контактам, когда приложение это запросит, то оно его и не получит. А в процессе работы оно такого у меня не спрашивало.
Причем, если твой вариант приложения работает, то это означает, что по сути это разрешение ему не нужно для функционирования. Оно просто взялось из шаблона файла манифеста, который использовал разработчик.

Наконец, ты же не переживаешь, что твой андроид без спроса передает что хочет в свою гугловскую бд???
И это ты никак не запретишь, пока не отключишь интернет совсем...
Кстати, ты ведь пользуешься Google Pay? :-D :-D
Anselm
14.04.2020
1. никто не спорит, что в программе основной объект-браузер. что не мешает ей собирать и передавать любые данные, в том числе не всегда, по запросу и т.д., так что отсутствие их в трафике не гарантирует, что завтра они там не появятся. тем более вопрос, чем просто сайту работать в фоне? зачем ему получать статус окончания загрузки? возможно, есть функционал слежения, который активируется по определенному ответу сайта или через gms push.

2. насколько понимаю, самая мякотка в этом разрешении не доступ к контактам (отдельное есть CONTACTS чего-то там), а список учеток. да, в них без явного подтверждения не войдешь, но список учеток будет получен. а если у тебя там почта вида vasypupkin1984@gmail.com вместе с профилем ВасяДлинноХобот в вк?

не нужно для базового функционирования-факт. для скрытого функционала, который у тебя не запустился? а вот хз. ну и кроме того, там не просто убраны строчки из XML, какой-то код все же внедрен, например imei и androidid там не скрывается, а заменяется на другой. то есть программа может и не понимать, что ее подправили. ну и, наконец, мы не знаем, как обработка исключений организовано, должно оно валиться сразу, или будет просто недоступен некий скрытый функционал.

калькулятор не должен просить смс и интернет, никогда. данное приложение является примером аналогично странного поведения
Divined
14.04.2020
Anselm писал(а)
а если у тебя там почта вида vasypupkin1984@gmail.com вместе с профилем ВасяДлинноХобот в вк?

Каким образом оно получит список учеток????
В самой операционке это не хранится, кроме гугловского идентификатора. Это надо лезть на карту и разбираться с файлами, лежащими на ней, т.е. знать, как функционируют программы, кторые я использую. Это уже срьёзное хакерство. Или еще вариант -- иметь доступ к запуску программы "настройки" из своей программы. А она системная, кто же тебе это даст? Только из-под рута, а su запросит разрешение, и я это увижу.
Причем, без явного разрешения пользователя и на карту залезть невозможно.
А гугловский -- это моя обычная почта. Не жалко, я его и так засветил, когда вошел в учётку гугла на телефоне.
Anselm
14.04.2020
хранится. много софта сразу предлагает войти через то, что есть в настройках на странице Аккаунты. а приложение алиэкспресса даже ботоводство на этой инфе пресекает

ты не засветил gmail просто потому, что ввел. но программа может получить информацию об авторизованных учетках. тот же яндекс предлагает войти через гугл и фб, видя их на телефоне, но не предлагает вк, потому, что его нет. при этом он не просто рисует кнопки, а дает попап со списком email'ов.

короче, мне надоело с тобой спорить. для сценария получения кода все эти права не нужны. хочешь-верь, дело с тобой. безопаснее выпилить. не веришь мне, выпили сам, если есть оригинал. ссылку на конфиг и инструмент-дам
Divined
14.04.2020
Образовывайся и перестань заражать паранойей других людей.
hackmag.com/coding/android-6-0-permissions/
И да, когда выдаешь разрешения другим приложениям, надо думать, давать это разрешение или нет. Но, начиная с Android 6 эти запросы программы получают явно, а не при установке. И их всегда можно отключить.
Anselm
14.04.2020
еще раз: не все разрешения запрашиваются у пользователя
ты несешь реально пургу.

ставь на свой эмулятор или что у тебя там xposed и xprivacy в режиме обучения (будет действительно спрашивать на все права) и охреней от 10-20 запросов на все подряд при запуске программ. сам андроид запрашивает только МАЛУЮ ЧАСТЬ
Divined
14.04.2020
В курсе, и xposed пользуюсь.
Только учетки твои появляются по запросу ОС, и никак не могут попасть в стороннее приложение, если не разрешишь.
То, что яндекс "показывает", это и есть запрос. Пока не разрешишь, программа не имеет к ним доступа.
Anselm
14.04.2020
ну раз ты в курсе, к чему это обсуждение?
я конкретно сказал, что вычистил то, что не запрашивает у тебя стандартный андроид. ты начал нести что-то про собирает, но не использует. что ты пытаешься доказать? что пусть уж собирает?

вроде бы элементарная цифровая гигиена: мутные программы на компе-в виртуалке или песочнице, мутные проги на телефоне-обрезать все лишнее. если для тебя разработчики ннкарты настолько же надежны, как гугл-на здоровье
Divined
14.04.2020
ЧИТАЙ КНИГИ АНСЕЛЬМ и не гони пургу.
Anselm
14.04.2020
ну ты начитался уже какой-то фигни, если для тебя какой-то скрин доказательство. впрочем если тебе нравится-дело твое. высеры только эти к чему?
zormax
15.04.2020
через чарльз прокси смотрел отправку данных?ну это я к тому, что ты так ратуешь как то подозрительно за приложуху, что хотелось бы спросить тебя, всё ли ты пропарсил вдоль и поперек чтоб утверждать о мякгости и пушишости
jsn
14.04.2020
А нахрена оно нужно?
leya*
14.04.2020
ха
mr.krabs
14.04.2020
Полицаям показывать
Как сегодня сказал мужик (пред)пенсионного возраста в электричке, "Да пошли они нах*й".
кн775
15.04.2020
Возвращенец2015 писал(а)
"Да пошли они нах*й".

Наконец-то пример здравомыслия. В чистом виде причём.
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов