Vlákno názorů k článku Potřebuji chytrý telefon, ale nechci ho, pouštím mobilní aplikace v Linuxu od Jan Hrach - To prošlo? Slyšel jsem, že mnohé banky nějak...

To prošlo? Slyšel jsem, že mnohé banky nějak testují, zda mobil není „rootnutý“, a odmítnou takový - což mi teda přijde absurdní jednak protože naopak rootnutý mobil spíš znamená že uživatel zkrotil malware od výrobce a chybějící updaty, a jednak že to určitě dělají pomocí nějakého API, které by mohlo jít podvrhnout (a asi i nějak jde - jmenovalo se to myslím magisk hide / zygisk, ale prý jsou s tím nějaké problémy, já ale Androidu nerozumím a bohužel jsem nenašel žádný „crashcourse“ který by ho vysvětlil pokročilým adminům standardního Linuxu).

> Nemohu však zavírat oči nad současným světem, již nyní se u některých činností, jako například parkování nebo výdejního místa Z-Box bez chytrého telefonu neobejdu a je jasné, že další podobné situace budou přibývat.

Vždyť zrovna na to parkování existuje webová aplikace, která je navíc opravdu lightweight, takže jde používat i s omezenými mobilními daty. Naopak Z-Box emulovat asi nepůjde, protože to používá Bluetooth a to bude tipuji dost komplikované.

Fascinující jsou pak fyzická zařízení, co se konfigurují jedině pomocí aplikace (z nedávné doby příklady: IP kamera, hrudní pás, meteostanice) -- zejména ve spojení s tím, že teď jak Google tak Apple chystají mazání aplikací co se 3 roky neaktualizovaly. Dříve byla pro konfiguraci starých zařízení potřeba maximálně tak virtuálka s IE6, teď z toho budou cihličky rovnou.

Ještě bych se chtěl zeptat jak je to s rychlostí a použitelností té Android Studio emulace, protože já to před pár lety zkoušel na i3-2350M kvůli Xiaomi IP kameře kterou šlo používat jen a pouze přes cloud přes appku (výběr zařízení nebyla moje volba), která navíc měla v sobě natvrdo ARMový ffmpeg, a nedostal jsem se skoro ani k nabootování.

5. 10. 2022, 00:22 editováno autorem komentáře

Kontrola rootu apod. – existují různé druhy kontrolu. Některé se opírají o detekci binárky si, ty půjde podvrhnout. Některé používají Google SafetyNet, který má různé úrovně kontroly. IIUC nejvyšší úroveň zahrnuje remote attestation a ověří, že běží Googlem certifikovaný OS. Samozřejmě kdyby z toho byl jen výstup typu boolean, tak by to stále šlo podvrhnout. Pokud ale může vzdálený server ověřit, že komunikuje s certifikovaným zařízením, pomocí kontroly podpisu (IIUC čip podepíše nějaká data klíčem, který nevydá, a vzdálený server může ověřit podpis díky certifikátu), může v reakci na to odmítnout službu. S tím moc nenaděláte.

Ještě by stálo dodat, že G SafetyNet nevyžaduje tu nejvyšší úroveň kontroly, pokud to zařízení nepodporuje. V podstatě toho využívá safetynet-fix pro Magisk kdy přesvědčí Google že to telefon nepodporuje a G SafetyNet spadne do fallbacku kdy se používá celkem primitivní ověření. To jde pak vcelku jednoduše obejít.

Asi jo, ale nejspíš jen dočasně. V GrapheneOS kvůli tomu nefungují NFC platby přes Google Pay. Prý by byl nějaký způsob, jak to obejít (zřejmě Vámi zmiňovaný downgrade attack), ale nejdou do toho, protože by to bylo jen dočasné.

Spíš bych řekl že bude trochu problém s tím že to je celkem "ošklivé" řešení (přeci jenom injectovat kód do cizí aplikace by mohl být právní problém)... Ale za sebe můžu říct že to funguje, tedy dokud mám v boot image magisk a nainstalované příslušné pluginy.

> .. rootnutý mobil spíš znamená že uživatel zkrotil malware od výrobce a chybějící updaty

Verzi Androidu si bankovní aplikace také kontroluje a na příliš starém se odmítne spustit.

Problém je v tom, že o rootnutém telefonu nelze nic říct, protože cokoli aplikace zjišťuje může být podvrh - například bezpečností TPM modul může být jen simulovaný a klíče se ve skutečnosti válí bez ochrany na disku.

Přiznám se, že jsem také byl překvapen tím, že s George klíčem nejsou problémy - ten se ale stejně jako ostatní SW stále vyvíjí a je možné, že by dřívější verze na emlulátoru neprošly. Mnou popsané řešení využívám již od začátku letních prázdnin a zatím funguje dle očekávání.

Ano, s parkováním souhlasím, u tlačítkového telefonu, který používám, však není možné využít mobilní data, takže zde si musím poradit jinak, "naštěstí" vzhledem k cenám benzínu jsem se právě do Prahy naučil jezdit autobusem a díky přidání dálkových nočních spojů vše stíhám, alespoň prozatím.

Android Studio je pomalé, o tom žádná. Rád s počítačem pracuji venku, takže mě oslovily odolné typy, v současné době Panasonic Toughbook CF-31, který je skvělý, ale výkonnostně spíše podprůměrný. Obecně Javovské desktopové aplikace jsou opravdu o trpělivosti (např. u astronomické Gaiasky začne větrák hnedle po spuštění narozdíl od Celestie či Stellaria napsaných v C++ okamžitě hučet a musím hodně omezit grafické detaily), naštěstí jde mi hlavně o ten George klíč, takže si pár minut na spuštění emulátoru a nakonec i virtuálního telefonu počkám. Ruku na srdce, na elektronické bankovnictví jako živnostník chodím maximálně jednou za den, takže z mé strany akceptovatelné.

Jen takový dotaz navíc. Zkoušel jste Waydroid? V článku se o něm nepíše a za pokus by to určitě stálo. Samozřejmě je vázaný na Wayland, takže pokud máte ještě x11, tak prostě nepoběží...

Ano, Waydroid jsem zprvu zkoušel, ale bez úspěchu. Na druhou stranu používám Arch Linux, který se stále vyvíjí a vidím, že aktuální verze v uživatelském repozitáři AUR je z konce září. Používám sice grafické prostředí MATE, podle wiki by však ani to neměl být problém:

https://wiki.archlinux.org/title/Waydroid

Vyzkouším ještě jednou a dám vědět.

Bohužel, i po dalším testu Waydroidu jsem nebyl úspěšný, absence Waylandu i přes informaci na Wiki u mě znemožňuje spuštění. Proto pokud máte možnost Waydroid vyzkoušet, budu moc rád.

Tak ono určitě půjde obejít i hlášení verze androidu. Ale tyhlencty moduly do magisku asi mají 3 sérii kaskád, takže je pak aplikace magisk s modulem a jeden modul je na ty modifikace telefonu , comá vlastní své moduly ... a to už fakt i pro geeka ja za hranou

Kromě toho už to magisk hide už zase je depracated a využívá se zase nějaká jiná metoda

Že trochu odbočím: o té webové aplikaci na parkování, kterou odkazujete, víte, že krade čísla platebních karet? Přestože zakážete cookies, přestože chcete pouze onu 1 hodinu zdarma, stejně si uloží vaši "platební metodu" (čili i kartu) a ukládá si i zadanou SPZ. Ještě jsem si nenašel čas to nahlásit UOOU, ale už dlouho se chystám...

Jinak řečeno oproti aplikaci ve "šmírovacím" mobilu si vůbec nepomůžete. Obzvlášť zábavné to může být, pokud si to parkování cvakáte na nějakém "veřejném" počítači, třeba v zaměstnání/knihovně apod.

5. 10. 2022, 14:49 editováno autorem komentáře