Безопасны ли аналоги программ Windows под Android?

Question

[Tomaszz]

Например, есть Keepass для Windows от Dominik Reichl, и есть его относительно популярная альтернатива Keepass2Android, но от другого разработчика. Оба приложения распространяются бесплатно и являются, если верить авторам, опенсорс. Вопрос. Можно ли считать Keepass2Android равнозначной альтернативой Keepass с точки зрения безопасности?

Answer 1

[kocherman]

Под андройд безопасны приложения только из F-droid.
Эти же приложения установленные из всех остальных мест лично я считаю небезопасными.
Также стоит учитывать, если у тебя рутованный андройд, любое приложение установленное не из F-droid автоматически компрометирует всю информацию хранящуюся на аппарате.
Для безопасности, в первую очередь, необхдимо удалять GAPPS и всё Google-вское, оставляя билд AOSP чистым от блобов, затем удалять проприетарные драйверы и прочий vendor-хлам.

Comments

[illuzor]

Тяжёлый случай паранои

[Karpion]

illuzor, Да, причём это как раз является необходимым условием безопасности.

[shurshur]

Ойшто? Вирусы и иные зловреды даже в Play Market пролезают.

[kocherman]

shurshur,

Ойшто? Вирусы и иные зловреды даже в Play Market пролезают.

Даже?! Play Market - это сам по себе вирус.

[shurshur]

kocherman, детский сад. Ты всерьёз думаешь, что в f-droid кто-то проводит детальный аудит кода?

[kocherman]

shurshur, Я сам провожу аудит кода программ из f-droid. Не всех конечно. Но те программы, которыми пользуюсь - каждую версию, каждый коммит!

[shurshur]

kocherman, и ты уверен, что нет закладок в компиляторах, что собирающего не хакнули, что загружен тот же самый бинарник и на всех CDN он одинаковый?

Я уж не говорю о том, что проверка программы на корректность по теореме Райса алгоритмически неразрешима.

Извини, но называть сервисы гугла "вирусом" можно только по причине исключительной упоротости.

[kocherman]

shurshur, Какие закладки в компиляторе OpenJDK? Компилирует приложения мэинтейнер. В репозиториях хранятся SHA-хэши всех файлов, подмена на CDN невозможна.

По поводу гуглевских программ. XXI век. Сейчас не имеют открытого исходного кода только те приложения, которым есть что скрывать (скрытая активность, сбор и анализ телеметрии, прочий шпионаж). Это даже сами гугловоды понимают.

В некоторых случаях авторы приложений не открывают исходный код из-за того что стыдно людям показывать.

Как сие использовать?

[shurshur]

kocherman, ну да, конечно, а дистрибы micq и exim с закладкой в своё время выкладывались в официальные источники и были подписаны, но почему-то подвох в них заметили далеко не сразу. А помнишь печальную историю, когда мейнтейнеры Debian пропатчили openssl на обнуление неинициализированных массивов и тем самым устроили гигантскую дыру в безопасности многим тысячам серверов? Современный софт настолько сложен, что даже без учёта алгоритмической неразрешимости задачи отличия правильно работающей программы от неправильно работающей нереально проводить полноценный аудит даже уровня какого-нибудь Common Criteria 4 для сколько-нибудь серьёзного софта.

> Сейчас не имеют открытого исходного кода только те приложения, которым есть что скрывать

Детский сад. Ты явно никогда не работал ни в каком серьёзном IT-бизнесе, раз такую чушь несёшь.

[kocherman]

shurshur,

Детский сад. Ты явно никогда не работал ни в каком серьёзном IT-бизнесе, раз такую чушь несёшь.

Приведите пример серьёзного IT-бизнеса, пожалуйста.

[shurshur]

kocherman, например, Way4.

Answer 2

[shurshur]

Если есть сомнения, что Keepass2Android в маркете собран из тех же самых исходников, то можно собрать его самостоятельно.