microG: opensource implementace Google Play Services (diskuse)

[Petr Tomášek]

A to aplikace od velkého strejčka nekontrolují nějaký TLS certifikát?

[Josef Kufner]

To API je jen volání Javových metod. HTTP komunikace je už věcí implementace volaných knihoven.

[xm]

I kdyby měli klíč uložený přímo v apk, není problém jí dekompilovat a získat jej z ní (a to i kdyby byla sebevíc obfuskovaná). Ale to není potřeba, ty API volání jsou přes standardní HTTPS, zas tak evil Google zatím ještě není

[Attila]

Ono je to hlavne prínosné, ak nechcete mať closed veci, ale zároveň by ste chceli využívať veci, ktoré máte zaplatené v Google Play. Našťastie vývojári ako z Goldendictu to už dávno krásne vyriešili, že Vám pošlu licenčný kluč do emailu na požiadanie a ten už iba prekopírujte do príslušného adresára.

[xm]

Ono je to hlavně přínosné i pokud člověk používá jen F-Droid a pouze opensource aplikace, protože řada opensource aplikací stále používá služby Google Play Services (např. GCM pro push zprávy je dost častá věc a to i u security / privacy aplikací jako je třeba TextSecure a RedPhone).

[pk]

Koupene aplikace na Google Play nemam, takze mi staci F-Droid a Raccoon. http://www.onyxbits.de/raccoon

[kralyk z abclinuxu]

Díky za link, to bude určitě lepší než ten apk-downloader nebo co jsem to zkoušel posledně. A vypadá to, že máme i balíky v AUR, paráda...

[xm]

Tak součástí microG projektu je i Phonesky, což je neoficiální Play Store klient pro Android (a ještě je tu jeho předchůdce BlankStore). Nejsou tedy zdá se aktivně vyvíjený, ale měly by fungovat. Takže pokud už chce člověk stahovat aplikace z Play Store, nemusí používat pochybný externí webový downloader (recept na získání malware) ani desktopovou aplikaci, ale lze tak činit přímo z Androida.

[kuba77]

Já používám kombinaci 1Mobile Market a F-Droid.

[source]

Zdar. Jak je to s bezpečností? Vidím, že je asi nějak propojen s Play store. Zkoušel jsi i Aptoide (pro porovnání)?

[Peter Golis]

Keď zoberiem jeden drobný fakt, že som prestal pred pár rokmi používať Google Play (po zmene licenčných podmienok, nevyhovovali mi) a update niektorých aplikácií som nemal ako vykonať, tak ma znepokojilo že 1 Mobile Market mi ponúka ipdate tých aplikácií z iným podpisom. Buď k tomu niečo 1 Mobile Market pribaľuje, alebo sa tým aplikáciám zmenili podpisobé kľúče v Google Play.

Zvláštne je to, že sa mi to nedialo u všetkých aplikácií.

[source]

Můžeš vyzkoušet stáhnout apk přímo z Play store a porovnat hash? Protože právě to, že do těch aplikací něco přibalují mě děsí nejvíce. A oni nějak tahají apk z Play store přes sebe, nebo jak to je zařízeno? Jejich stránky o tom tak nějak "mlčí".

[Peter Golis]

Ak sa smiem opýtať, ako stiahnem ten apk z google play? Spomínal som, že som odmietol súhlasiť s zmenou licenčného ujednania google.

Inak, tú väzbu medzi google play a 1 mobile market si môžeš domyslieť aj sám. Pozri si koľko stojí napríklad plný bsplayer v obidvoch obchodoch, a pochopíš že legálnosť tam ide bokom.

[source]

http://apk-dl.com/

Sice je to taky přes prostředníka, ale pokud se budou hashe shodovat, pak je velká pravděpodobnost, že je aplikace OK. Jo a nezapomenout, že to musí být stejné verze :)

[Peter Golis]

Příloha:

• 2015-10-07_19.42.05.png (94060 bytů)

Aha, takže ten link budeme považovať na účely porovnania podpisu za dôveryhodný. Na poštu sa tiež chodím opýtať na to, či moju faktúru podpísal dodávateľ. Odhliadnúc od toho, že nájsť tak historické verzie programov čo mám a i na tej pošte, pardón na linku toho prostredníka už nezoženieš.

Mne stačilo že ten market poskytuje warez. A že mu v určitých prípadoch nesedia podpisy. V prílohe je ukážka porovnania z mnou aktuálne používaného F.Droidu a 1 Warez Marketu.

Som zvedavý, koľko trolov sa do mňa pustí s tým, že nech ukážem dôkaz o wareze (ktorý si nedokážu nájsť/pochopiť), o tom že som spomínal porovnanie podpisu aplikácie z google a toho 1 ževraj obchodu, a podobne. Odhliadnúc o tom, že podpis je pribalený v apk, a kontrolný súčet pri nezhode podpisu ozaj nemusí sedieť.

[xm]

Z tohodle pochybného 1 Malware Marketu bych rozhodně nic neinstaloval, ale s podpisy aplikací z F-Droidu porovnávat nemůžeš. F-Droid všechny aplikace sestavuje ze zdrojáků sám a podepisuje vlastním F-Droid klíčem. Porovnávat bys měl tedy s apk staženou z Google Play.

[Peter Golis]

Mýliš sa. Na niektorých aplikáciách, čo som mal pôvodne nainštalované z Google mi v pohode ponúkol update a kľúč sedel.

[xm]

Tak to jedině že by daní vývojáři primárně publikovali na F-Droidu a na Google Play poté uploadovali už F-Droidem podepsané apk.

[Peter Golis]

Takú situáciu som ešte nezažil. Publikovanie na F-Droide vždy meškalo.

[kuba77]

Zkusil jsem stáhnout Evernote z 1 Mobile Marketu a pro porovnání z apkmirror.com a porovnal jsem MD5 a bylo shodné. Z apk-dl.com se mi momentálně nedaří stahovat. Jinak z 1 Mobile Marketu mám nainstalované aplikace jen takové, které jsou oficiálně zdarma a nemám jich moc. Prostě jen ty appky, které potřebuji a nejsou na F-Droid.

Jinak abych odpověděl na otázku k mému příspěvku výše, sledoval jsem provoz sítě na mém smartphonu přes appku Network Connections a ničeho zvláštního jsem si nevšiml, kromě toho, že se připojoval na jednu IP adresu Googlu i když nemám GApps.

[Peter Golis]

Skús porovnať napríklad spomínanú komerčnú verziu BSPlayer alebo inú komerčnú aplikáciu z top listu.

[kralyk z abclinuxu]

Ak sa smiem opýtať, ako stiahnem ten apk z google play?

No třeba pomocí toho programu co někdo odkázal výše...

[Peter Golis]

Ten program vyžaduje mať aktívne konto u google. Ako to môžem splniť keď ako som spomínal, nesúhlasím s všeobecnými podmienkami predávania osobných údajov a osobných dát tretím stranám bez môjho súhlasu a bez môjho vedomia?

[xm]

Můžeš si vytvořit pro tyto účely anonymní fake Google účet.

[Peter Golis]

Odsúhlasenie hociakých podmienok je skvelá cesta k nainštalovaniu mallware.

Ak s tým raz nesúhlasím, tak s tým nebudem súhlasiť ani s pomocou anonymnej identity. Schyzofréniou netrpím, a mám chrbtovú kosť.

[xm]

Rozhodně mnohem méně nebezpečná cesta než použít nějaké third-party webové služby, jejichž biznis modelem je právě pravděpodobně přibalování malware k aplikacím, které stáhnou z Google Play

Pokud nepoužiješ oficiální Google Play klient, tak ti přeci žádný malware nehrozí. Vytvořením Google účtu se ti malware do telefonu magicky nedostane. Rozhodně je bezpečnější stahovat ty aplikace napřímo z Google Play alternativním opensource klientem než používat služby nějakých pochybných prostředníků.

[Peter Golis]

Nerozumiem prečo by som mal znova začať používať gapps. Vedel by si mi povedať v čom je to bezpečnejšie?

[kralyk z abclinuxu]

Odsúhlasenie hociakých podmienok je skvelá cesta k nainštalovaniu mallware.

Jak by se ti měl někam dostat malware?

Ak s tým raz nesúhlasím, tak s tým nebudem súhlasiť ani s pomocou anonymnej identity. Schyzofréniou netrpím, a mám chrbtovú kosť.

No kdybys to chtěl skutečně brát takhle striktně, tak bys nesměl s Google Play stahovat aplikace nijak. To, že nechceš porušovat jejich podmínky, ale necháš je porušovat někoho jiného za tebe bych úplně nepopsal jako "mám chrbtovú kosť"...

[Peter Golis]

Neviem si tvoje slová vysvieliť inak, ako že máš dôkaz že ten market porušuje podmienky google. V tom prípade ich nahlás kontaktnej osobe, inak sa stávaš spolupáchateľom.

[kralyk z abclinuxu]

Nevim, jak to má pořešeno 1 Mobile Market, ale tipoval bych, že různé apk downloadery podmínky Google Play porušují. Nejsem ale právník a důkaz nemám. Nahlašovat nikoho nebudu, nemám proč. To bych musel koneckonců nahlásit i sebe

Jinak celkem nevidím rozdíl mezi tím, kdy si zaregistruješ jednoúčelový účet u Google nebo necháš prostředníka, aby to udělal za tebe.

[Peter Golis]

Pokiaľ ovšem robí ten prostredník to, čo o ňom tvrdíš. Takže to zhrnieme. Nemáš dôkaz k tvojmu tvrdeniu.

[kralyk z abclinuxu]

Vždyť si sám výše psal že tam legálnost jde bokem. Přijde mi, že fakt řešíš kraviny, prostě si založ jednoúčelový Google účet a stáhni si to sám, vyhneš se riziku, že 1MobileMarket (nebo jak se to jmenuje) ti k tomu pribalí malware. Stejně jsou už ty podmínky tak nebo onak někde na cestě z Google Play k tobě nejspíš porušeny, takže je to IMHO šumák...

[Peter Golis]

Neviem či sa chápeme, ale z môjho pohľadu je tam problém s iným typom legálnosti (redistribúcia plateného SW s použitím nulového cenníku). A to Že oni majú problém s nelegálnosťou ešte neznamená že ja budem robiť to isté len koli nábrhu miestnych trolov. Z môjho pohľadu som krytý ich vyhlásením že to poskytujú oni. Robia tak na vlastné triko.

[xm]

1 Malware Market?

[itexpert]

Snad to bude fungovat i v mém BlackBerry 10!