Pull to refresh
12
0
Yaroslav @comhot

Android and iOS developer

Send message

Игра в безопасность Android-приложений

Level of difficultyMedium
Reading time20 min
Views5.3K

Давайте в общих чертах рассмотрим вопросы взлома и защиты Android-приложений. 

В рамках статьи нас интересуют сами процессы взлома и защиты, а не конкретные методики работы с конкретными инструментами. Поэтому разберёмся с этими процессами и постараемся сделать выводы. Чтобы читать было интереснее, я решил попеременно ставить себя и на место нападающего, и на место защищающего приложение человека. Что-то вроде шахмат: сначала ход делает нападающий, а затем защищающийся. Пока кто-то не победит. Пройдём путь, постепенно наращивая сложность, от простого вроде HTTPS — к более сложному, вроде обфускации и деобфускации, изменению поведения. И под конец перейдём к C++ и просмотру его Assembler кода.

Читать далее
Total votes 24: ↑24 and ↓0+24
Comments9

GOST: швейцарский нож для туннелирования и обхода блокировок

Level of difficultyMedium
Reading time13 min
Views94K

Начиная со вчера Роскмонадзор запрещает писать про инструменты для обхода блокировок, и это событие мы отметим очередной статьей про инструменты для обхода блокировок. Ибо не им указывать, на какие темы мне писать или не писать, пусть идут строем нафиг.

Сегодня я расскажу о замечательном инструменте под названием GOST. Не пугайтесь, он не имеет никакого отношения к ГОСТ-шифрованию или чему-то подобному, на самом деле это Go Simple Tunnel. Он действительно simple (простой) в использовании и настройке, но при этом невероятно мощный, поскольку поддерживает огромное количество протоколов и транспортов, из которых вы при желании сможете построить самые упоротые и бронебойные комбинации, а именно...

Читать далее
Total votes 180: ↑177 and ↓3+174
Comments113

Тёмная сторона Mac App Store: как скам-приложения и серые разработчики охотятся на пользователей

Level of difficultyMedium
Reading time8 min
Views5.5K

В течение последнего месяца я внимательно мониторил Mac App Store и сделал тревожное открытие. В самый разгар лихорадки вокруг OpenAI всплыло несколько приложений, которые копируют оригинальный логотип и цветовую схему OpenAI, вводя в заблуждение ничего не подозревающих пользователей Mac App Store. Но это ещё не всё – я также обнаружил, что некоторые разработчики злоупотребляют условиями Apple Developer Agreement, рассылая спам по множеству аккаунтов и заполняя магазин практически идентичными приложениями.

Это создаёт среду в стиле «картелей» и несправедливую конкуренцию для других разработчиков. Некоторые серые деятели, о которых я буду говорить в этой статье, также прибегают к злоупотреблению легитимными средствами, например, запрашивая отзывы от пользователей уже после минуты использования приложения ради манипулирования своим рейтингом в App Store. В текущей статье я подробно разберу эту проблему скама приложений и теневых разработчиков, которые засоряют эту платформу.
Читать дальше →
Total votes 39: ↑37 and ↓2+35
Comments8

Эй, Google, это твой баг

Level of difficultyEasy
Reading time8 min
Views7.9K

Это история о том, как мы обнаружили баг в приложении для Android и упорно пытались доказать, что это баг Google, а потом ещё упорнее пытались заставить компанию его устранить.

Прежде чем вдаваться в подробности, приведу немного контекста.


▍ Да, это заняло больше четырёх месяцев!


Почему так долго? Позвольте мне объяснить природу бага и хронологические этапы его устранения.
Читать дальше →
Total votes 40: ↑39 and ↓1+38
Comments21

Современные технологии обхода блокировок: V2Ray, XRay, XTLS, Hysteria, Cloak и все-все-все

Reading time20 min
Views315K

Три месяца назад здесь на Хабре была опубликована статья “Интернет-цензура и обход блокировок: не время расслабляться”, в которой простыми примерами показывалось, что практически все популярные у нас для обхода блокировок VPN- и прокси-протоколы, такие как Wireguard, L2TP/IPSec, и даже SoftEther VPN, SSTP и туннель-через-SSH, могут быть довольно легко детектированы цензорами и заблокированы при должном желании. На фоне слухов о том, что Роскомнадзор активно обменивается опытом блокировок с коллегами из Китая и блокировках популярных VPN-сервисов, у многих людей стали возникать вопросы, что же делать и какие технологии использовать для получения надежного нефильтрованного доступа в глобальный интернет.

Мировым лидером в области интернет-цензуры является Китай, поэтому имеет смысл обратить на технологии, которые разработали энтузиасты из Китая и других стран для борьбы с GFW (“великим китайским файрволом”). Правда, для неподготовленного пользователя это может оказаться нетривиальной задачей: существует огромное количество программ и протоколов с похожими названиями и с разными не всегда совместимыми между собой версиями, огромное количество опций, плагинов, серверов и клиентов для них, хоть какая-то нормальная документация существует нередко только на китайском языке, на английском - куцая и устаревшая, а на русском ее нет вообще.

Поэтому сейчас мы попробуем разобраться, что же это все такое и как это использовать и не сойти с ума.

Читать далее
Total votes 157: ↑155 and ↓2+153
Comments136

Книга нормального фрилансера

Reading time6 min
Views6.6K

Батюшки, я же уже почти целую свою книгу выложил в виде статей на Хабре! Это было круто. Никакая другая площадка не дала мне столько просмотров, разумных комментариев и вступлений в Телеграм-канал. В этой публикации хочу рассказать о том, как я пришёл к идее книги, как писал её, как и где публиковал и что планирую делать дальше. А ещё сделаю подборку ссылок на все главы, опубликованные на Хабре, в правильной последовательности.

Сначала два слова обо мне для тех, кто видит меня впервые. Егор Камелев. Проектирую интерфейсы с 2006 года (если что, это не моё достоинство, а показатель того, что я рос вместе с рынком и не сталкивался с проблемами современных новичков). Делаю интерактивные прототипы в Axure и сопровождаю их подробными функциональными спецификациями. Создал Проекторат, питерское бюро проектирования интерфейсов. Был какое-то время монополистом на рынке обучающих материалов по работе в Axure.

Почему решил написать книгу. Я в 2018-м решил перебираться с фрилансерской работы на работу над своими проектами, в частности над генератором посадочных страниц lp151. И книга должна была стать некой чертой под моим более чем десятилетним опытом фриланса. В 2019-м я поговорил со старым знакомым, который задал мне ряд вопросов о работе на себя. И по этим вопросам я понял, что трудности его ждут не там, где он их ожидает, а там, где он даже не знает, что спрашивать. Так я окончательно решил, что книга будет не только подытоживать мою фрилансерскую карьеру, но и поможет другим людям с ответами на незаданные вопросы.

Читать далее
Total votes 18: ↑15 and ↓3+12
Comments7

Как отправить сообщение почти любому человеку в LinkedIn

Reading time3 min
Views12K

Самый популярный способ поиска работы — используя профессиональную сеть LinkedIn. На западном рынке именно эта сеть стала основным инструментом для поиска деловых контактов и расширения нетворка. Большинство компаний используют LinkedIn для поиска сотрудников. Это основной (и зачастую единственный) инструмент, которым пользуется рекрутер при поиске кандидатов.

Предположим, вы ищете работу и нашли на LinkedIn позицию которая вам интересна, и в той локации где вам нужно. Вроде бы всё замечательно и откликнувшихся не огромное количество (пока). Вы тоже можете откликнуться, но это не даст вам ровным счётом никаких гарантий.

В этой статье я поделюсь с вами секретом как вам достучаться до рекрутера или нанимающего менеджера и увеличить свои шансы обратить на себя внимание. Вы вряд ли найдете этот совет где-либо еще.

Читать далее
Total votes 57: ↑49 and ↓8+41
Comments5

Что мы используем для анализа Android-приложений

Reading time8 min
Views10K

В этой статье расскажем про инструментарий для анализа мобильных приложений, который мы используем каждый день. Для начала поговорим про то, как запускать мобильные приложения, чем смотреть трафик, и рассмотрим инструменты для статического и динамического анализа мобильного приложения.

Читать далее
Total votes 26: ↑26 and ↓0+26
Comments4

99+ бесплатных инструментов для анализа зловредов

Reading time10 min
Views38K

Знай своего врага ― одна из максим, которой руководствуются специалисты по информационной безопасности. Она касается и зловредов. Существуют сотни инструментов, которые помогают исследовать вредоносное ПО. К счастью, многие из них бесплатны и имеют открытый исходный код. 

Под катом мы собрали онлайн-сканеры подозрительных файлов, некоторые инструменты для статического и динамического анализа, системы для описания и классификации угроз и, конечно, репозитории с малварью, которую можно исследовать.

Читать далее
Total votes 45: ↑44 and ↓1+43
Comments1

Как правильно отвечать на вопрос “Какие у вас зарплатные ожидания?” на рынке США

Reading time6 min
Views65K

На первом интервью чаще всего рекрутер может задать вопрос о зарплатных ожиданиях кандидата — “What Are Your Salary Expectations?”. Я принимаю участие в найме продукт-менеджеров, дизайнеров и инженеров и хочу поделиться с вами своим опытом как правильно отвечать на этот вопрос применительно к рынку США.

Я не рекомендую раскрывать никаких цифр как на ранней стадии процесса интервью, так и во время раунда интервью. В этой статье я расскажу почему именно такая стратегия является наиболее выигрышной.

Читать далее
Total votes 96: ↑85 and ↓11+74
Comments161

Мягкий способ релокации в Европу, или Поиск тихой гавани в неспокойные времена

Reading time11 min
Views75K

Если 20-21 года можно назвать «годами удалёнки», то 2022 можно назвать годом релокации. Если раньше мысль о переезде посещала меня в формате «ну когда-нибудь потом, перееду в тепло ближе к пенсии», то после февраля этого года, когда зарубежные компании начали сворачивать бизнес в России, заказчики — сокращать бюджеты, а деньги со счёта в банке можно ждать неделями — вопрос о переезде в другую страну встал ребром. Причём не с целью «переждать», а как минимум для небольшой адаптации за рубежом, для возможного переезда уже на ПМЖ.

В качестве такой первой остановки выбрал Сербию (почему именно её расскажу дальше). Если вас тоже посещали/посещают мысли уехать — переходите под кат, там я делюсь своими критериями выбора страны,  деталями переезда и сведениями, которые удалось узнать у уже переехавших.

Читать далее
Total votes 88: ↑78 and ↓10+68
Comments203

Наиболее распространенные уязвимости в мобильных приложениях

Reading time24 min
Views10K

Всем привет, меня зовут Юрий Шабалин, я один из основателей компании "Стингрей Технолоджиз" (входит в группу компаний Swordfish Security), мы разрабатываем платформу анализа защищенности мобильных приложений iOS и Android. Этой статьей я бы хотел открыть серию материалов, посвященных мобильной безопасности. И сегодня поговорить о тех уязвимостях, что мы встречаем чаще всего при автоматическом анализе.

Читать далее
Total votes 17: ↑17 and ↓0+17
Comments3

Linux-дистрибутивы для анонимной работы в интернете — что нового?

Reading time7 min
Views48K


Самый известный из секьюрных дистрибутивов — Tails, он выпускается с 2009 года. Там всё привычно и знакомо: вставил флэшку, загрузился, поработал, почистил RAM за собой. При этом периодически появляются альтернативные решения, такие как Whonix, Qubes OS или совсем новый дистрибутив Obscurix.

Личная безопасность — не та сфера, где следят за модой. Это не какое-то хобби, мобильная разработка или дизайн, здесь речь о сохранении жизни и свободы. Нововведения — не дань эстетике или комфорту, а попытка обеспечить ещё более надёжную защиту.
Total votes 43: ↑43 and ↓0+43
Comments19

Уязвимости в реализации межпроцессного взаимодействия в Android-приложениях

Reading time13 min
Views7.2K

Последние 6 лет я работаю экспертом по информационной безопасности в Одноклассниках и отвечаю за безопасность приложений.


Мой доклад сегодня — о механизмах межпроцессного взаимодействия в Android и уязвимостях, связанных с их неверным использованием.



Но сначала пара слов о том, как появился этот доклад.


Наверное, вы уже заметили, что на каждом Heisenbug есть как минимум один доклад про безопасность, например про XSS или поиск уязвимостей в веб-приложениях. Тема мобильной безопасности осталась не охвачена, хотя мы живем в 2020 году, и аудитория мобильных приложений уже давно превысила аудиторию веба. Мне хотелось выбрать тему из мира мобильной безопасности — достаточно конкретную, чтобы выдержать формат технического доклада, но при этом достаточно распространенную.

Читать дальше →
Total votes 30: ↑28 and ↓2+26
Comments2

Нейронные сети для начинающих. Часть 1

Reading time7 min
Views1.5M
image

Привет всем читателям Habrahabr, в этой статье я хочу поделиться с Вами моим опытом в изучении нейронных сетей и, как следствие, их реализации, с помощью языка программирования Java, на платформе Android. Мое знакомство с нейронными сетями произошло, когда вышло приложение Prisma. Оно обрабатывает любую фотографию, с помощью нейронных сетей, и воспроизводит ее с нуля, используя выбранный стиль. Заинтересовавшись этим, я бросился искать статьи и «туториалы», в первую очередь, на Хабре. И к моему великому удивлению, я не нашел ни одну статью, которая четко и поэтапно расписывала алгоритм работы нейронных сетей. Информация была разрознена и в ней отсутствовали ключевые моменты. Также, большинство авторов бросается показывать код на том или ином языке программирования, не прибегая к детальным объяснениям.

Поэтому сейчас, когда я достаточно хорошо освоил нейронные сети и нашел огромное количество информации с разных иностранных порталов, я хотел бы поделиться этим с людьми в серии публикаций, где я соберу всю информацию, которая потребуется вам, если вы только начинаете знакомство с нейронными сетями. В этой статье, я не буду делать сильный акцент на Java и буду объяснять все на примерах, чтобы вы сами смогли перенести это на любой, нужный вам язык программирования. В последующих статьях, я расскажу о своем приложении, написанном под андроид, которое предсказывает движение акций или валюты. Иными словами, всех желающих окунуться в мир нейронных сетей и жаждущих простого и доступного изложения информации или просто тех, кто что-то не понял и хочет подтянуть, добро пожаловать под кат.
Читать дальше →
Total votes 70: ↑60 and ↓10+50
Comments64

Архитектурные паттерны в iOS

Reading time14 min
Views199K

Введение в MVP, MVC, MVVM и VIPER. Что между ними общего и в чем разница.



Делаете все по MVC, а получается некрасиво? Сомневаетесь, переходить ли на MVVM? Слышали о VIPER, но не уверены, стоит ли оно того?

В этой статье я кратко рассмотрю некоторые популярные архитектурные паттерны в среде iOS и сравню их в теории и на практике. Больше информации вы найдете при переходе по ссылкам, указанным в тексте.
Читать дальше →
Total votes 28: ↑28 and ↓0+28
Comments18

Подборка бесплатных инструментов для разработчиков

Reading time28 min
Views186K
Сегодня мы представляем вашему вниманию адаптированную подборку инструментов (в том числе облачных) для разработчиков, которые позволяют создавать по-настоящему качественные проекты. Здесь представлены исключительно SaaS, PaaS и IaaS сервисы, предоставляющие бесплатные пакеты для разработчиков инфраструктурного ПО.

Читать дальше →
Total votes 96: ↑89 and ↓7+82
Comments38

Линейная алгебра для разработчиков игр

Reading time19 min
Views763K
Эта статья является переводом цикла из четырёх статей «Linear algebra for game developers», написанных David Rosen и посвящённых линейной алгебре и её применению в разработке игр. С оригинальными статьями можно ознакомиться тут: часть 1, часть 2, часть 3 и часть 4. Я не стал публиковать переводы отдельными топиками, а объединил все статьи в одну. Думаю, что так будет удобнее воспринимать материал и работать с ним. Итак приступим.
Читать дальше →
Total votes 314: ↑296 and ↓18+278
Comments61

Information

Rating
Does not participate
Location
Россия
Registered
Activity