Aplikacja nie działa na Pixel 4
Closed this issue · 9 comments
Po uaktualnieniu aplikacji pojawia sie komunikat:
Twoje urządzenie nie mogło zostać pozytywnie zweryfikowane
Twoje urządzenie nie przechodzi testu SafetyNet Attestation (https://customroms.net/faq/safetynet-android/). Temat zapobiegania działaniu aplikacji na zrootowanych urządzeniach się dotąd nie pojawiał.
@stawicki91 czy możesz potwierdzić że masz zrootowany telefon? jeśli tak, to niestety zablokowaliśmy taką możliwość, jeśli nie to chciałbym pogłębić analizę czemu Twój telefon nie przechodzi weryfikacji
Kto podjął taką decyzję i jak ją uzasadnia? Imiennie, proszę. W ramach budowania zaufania społecznego.
Tak, mam zrootowany telefon.
jeśli tak, to niestety zablokowaliśmy taką możliwość
Jaki to ma sens? Przecież taką blokadę można łatwo ominąć za pomocą Magisk Hide, więc wykrywanie zrootowanych urządzeń tu ma taki sens jak w aplikacji McDonald's czy Google Pay - żaden. Nawet jeśli ktoś ma zrootowane urządzenie/po prostu odblokowany bootloader, to nie żeby "hakować" aplikację (za dużo z tego typu aplikacją nie da się zrobić, bo jeśli ktoś chce zablokować działanie to można to zrobić nawet i bez roota). Wnioskuję o usunięcie tej bezsensownej blokady.
Ja tez mam zrootowany telefon. Pierwsza wersja aplikacji działała, dzisiaj po aktualizacji komunikat "Twoje urządzenie nie mogło zostać pozytywnie zweryfikowane". Dołączam się do pytania @pkleczko o faktyczne intencje tej blokady - bo to pachnie brzydko - nie tylko arbitralną dyskryminacją grupy użytkowników. Skoro aplikacja kliencka jest projektem opensource to jest to tym bardziej absurdalne .
Decyzja została podjęta przez cały zespół pracujący nad aplikacją, uważamy że nawet jeśli nie jest to rozwiązanie 100% skuteczne to przynajmniej znacząco ograniczające potencjalną ingerencję w dane zbierane przez aplikacje i przechowywane lokalnie. Nie chodzi tutaj o dyskryminacje kogokolwiek tylko zapewnienie bezpieczeństwa również innym użytkownikom. Jak wiecie aplikacja rejestruje wykrycie kontaktu z inną aplikacją/telefonem, dzięki pełnemu dostępowi do jej danych przez aplikacje zewnętrzne mogłyby one pozwalać na powiązanie danej osoby z co prawda tymczasowymi identyfikatorami, ale jednak. Również zmiana przechowywanych danych mogłaby prowadzić do utrudnienia jej analizy czy wręcz nieprawdziwych rezultatów w momencie opisanym w specyfikacji projektu. Blokowanie działania na zrootowanych telefonach nie jest niczym odkrywczym, większość aplikacji związanych z opieką zdrowotną czy finansami powszechnie stosuje to rozwiązanie.
dzięki pełnemu dostępowi do jej danych przez aplikacje zewnętrzne mogłyby one pozwalać na powiązanie danej osoby z co prawda tymczasowymi identyfikatorami
Kogo przed kim chronicie, tak dokładniej? W systemach mobilnych aplikacje są od siebie izolowane, zaś w skompromitowanych instalacjach malware dobierze się bezpośrednio do pliku z bazą danych, bez udziału aplikacji. Z kolei ktoś chcący śledzić unikalne identyfikatory nie użyje do tego cudzego urządzenia, tylko wystawi w miejscu publicznym własne.
Więc jeszcze raz - jaki jest model zagrożenia?
Tak tylko dla potomności odnotuję, że w wersji 3.0.3 blokada SafetyNet znikła. Wyjaśnienia nigdzie się nie doszukałem.