Slo-Tech - Včeraj je MJU (oz. njihov zunanji izvajalec) na GitHubu objavil posodobljeno različico izvorne kode aplikacije #OstaniZdrav. Objavili so tako različico za Android kot iOS. Hiter pregled pokaže, da razen uporabe nemških popravko in nekaj prevodov na aplikaciji ni bilo pomembnih sprememb.
Zanimivo je, da se je MJU odločil izvorno kodo objaviti v novem repozitoriju (ostanizdrav-android-1.3.1) namesto, da bi samo posodobil izvornega, kar kaže na zanimiv pristop do uporabe orodja Git. Prav tako koda še od avgusta vsebuje odseke "odstrani pred izdajo", ki sicer niso videti škodljivi, vendar ne vzbujajo zaupanja. V vmesnem času je sicer nemški izvajalec bistveno nadgradil aplikacijo, česar pa verjetno pri nas še nekaj časa ne bomo videli.
V prvi repozitorij je bil prvi commit narejen 11.8. in zadnji 24.9. V drugi repozitorij je bil prvi commit narejen 11.8. in zadnji 26.10.
What is this fuckery?
Gre za isti repozitorij samo da ima en še dodatne commite. Nevem zakaj so na GitHubu dali kot ločen repozitorij.
Vsekakor pohvalno da so objavili popravljeno verzijo.
Ne drži. Do 11.8. se repositorija ujemata. V prvem se nato 11.8 s strani MJU zgodi še en commit s popravkom prevodov. Nato v prvem sledijo še dodatni popravki s strani MJU. Istočasno RSTeam commita v drugi repozitorij po 11.8 in združuje spremembe iz prvega na roke. In ne samo to ampak 15.9. commita spremembe prevodov v drugi repo, ki se v prvi repo zgodijo šele 24.9.
Zdej je aplikacija potrebna za prehajanje občinskih meja znotraj določenih regij. Recimo, da se spoznam na programiranje Android aplikacij (pa se ne), je možno, da si dol potegnem ta repozitorij in ga tako osiromašim, da mi ostane samo izgled aplikacije, funkcionalnosti (zaznavanje, poročanje, ... karkoli že dela po teoretikih zarot) pa nič. To si inštaliram in kažem policajem, če bi bilo treba. A je tukaj kje luknja, ki je ne vidim da to ne bi bilo izvedljivo?
Zdej je aplikacija potrebna za prehajanje občinskih meja znotraj določenih regij. Recimo, da se spoznam na programiranje Android aplikacij (pa se ne), je možno, da si dol potegnem ta repozitorij in ga tako osiromašim, da mi ostane samo izgled aplikacije, funkcionalnosti (zaznavanje, poročanje, ... karkoli že dela po teoretikih zarot) pa nič. To si inštaliram in kažem policajem, če bi bilo treba. A je tukaj kje luknja, ki je ne vidim da to ne bi bilo izvedljivo?
Ja, to je izvedljivo, a neumno. Če imaš toliko znanja, da znaš tako predelati aplikacijo, imaš tudi toliko znanja, da iz kode vidiš, da je aplikacija popolnoma neškodljiva in ti nikakor preko nje Hojs ne more slediti. Kar seveda pomeni, da je veliko bolj smiselno namestiti in uporabljati kar pravo verzijo kot pa se iti take trike. Pa še koristi imaš od tega, da te (mogoče) uspe opozoriti, da si bil v tveganem stiku.
To si inštaliram in kažem policajem, če bi bilo treba.
A ni bolj enostavno odpreti kar sliko (print screen) in mu jo pokazati? :)
Pa print screen mora miti približno prave resolucije, drugače se lahko opazi, da je slika malo meglena in/ali razvlečena. Pa gor je tudi en znakec, ki utripa ... moraš še to simulirati, torej rabiš en filmček, ne print screena. Pa pri vsem skupaj še tvegaš, da te policaj, če ni neumen, pogrunta.
A ni bolj enostavno aplikacijo preprosto namestiti? Kje je problem? Mogoče zgolj iz principa, da se ne boš počutil kot "ovca"?
Sam imam inštalirano aplikacijo, zato se ne ubadam s takimi rešitvami. Zanimalo me je samo, če je pri opensource oz. objavljanju source kode kakšna varovalka, da to ne bi mogel naredit. Ne vem točno kako je izvedeno "oddajanje signala, da si okužen". Ampak (spet teoretično) bi lahko predelal aplikacijo, da vedno javlja, da si okužen. Pa ne da bi želel bit, ampak če bi želel mal nagajat "sistemu" (država, statistika, naval na testiranje, ...)
Potrebovali bi "svoboden" build aplikacije, kot jo imajo Nemci https://f-droid.org/en/packages/de.coro... Tako bi se zaščitili tudi pred tem da Google rukne zdajšno aplikacijo dol, ker lahko distribuiraš preko svoje infrastrukture.
V prvi repozitorij je bil prvi commit narejen 11.8. in zadnji 24.9. V drugi repozitorij je bil prvi commit narejen 11.8. in zadnji 26.10.
What is this fuckery?
Gre za isti repozitorij samo da ima en še dodatne commite. Nevem zakaj so na GitHubu dali kot ločen repozitorij.
Vsekakor pohvalno da so objavili popravljeno verzijo.
Ne drži. Do 11.8. se repositorija ujemata. V prvem se nato 11.8 s strani MJU zgodi še en commit s popravkom prevodov. Nato v prvem sledijo še dodatni popravki s strani MJU. Istočasno RSTeam commita v drugi repozitorij po 11.8 in združuje spremembe iz prvega na roke. In ne samo to ampak 15.9. commita spremembe prevodov v drugi repo, ki se v prvi repo zgodijo šele 24.9.
WTF
Nisem dovolj natančno pogledal. Šalabajzerji. Vsekakor niso navajeni odprtega razvoja ali pa celo Gita ne znajo uporabljat.
- prvi je, da ljudje ne vejo kaj aplikacija je in kako dela. Se vedno velja prepricanje, da aplikacija stalno posilja tvoje koordinate hojsu na email. - drugi je ta, da je drzava zajebala z marketingom te aplikacije. Namesto, da gre na tv nekdo z FRIja in kaze aplikacijo kot super, se je zacelo z janso in obvezno uporabo, svobodo, omejitvami itd., in nadaljuje spet z "obevezno" uporabo... ki ni obvezna, ampak je, ce hoces kam it. - tretji je ta, da imas na eni strani antijansiste, ki po dokoncnem odprtju ne bodo vec hoteli ven, samo zato ker je jansa rekel, da zdaj smejo. Isti ljudje se derejo, ko zapiramo drzavo, in ko odpiramo drzavo. Na drugi pa mas seveda jansevo vlado, ki se obnasa, kot da igra simcity... klik, sprememba tega, ups, sprememba nazaj, ups, sprememba na tretje, ingame timer je pa sel za tri dni naprej.... pa seveda igra, kot da ima cheat kodo za denar. - cetrti je ta, da smo za vse krivi "mi" in ne "oni". Vec kot polovica smrti je iz domov za ostarele (vsaj ce je bila cifra na rtv prava), kar pomeni da je za ~1145 (ce sem si prav zapomnil) smrti krivih nekaj deset tisoc ljudi, ki direktno in indirektno skrbijo za te ljudi, za manj kot to, je pa krivih ostalih milijon-devetsto-nekaj tisoc ljudi, ki jemo bureke in pice, ga pijemo po kleteh in kadimo na klopcah
Pac, ljudem dopizdi, zaprti so doma, ne smejo prakticno nikamor (zdaj mas en teden za trgovino, potem bos spet zaprt), zraven pa take nebuloze govorijo po tv in pisejo v odloke (ze ta primerjava verig za cez vrsic in aplikacije za v drugo obcino), da se javno mnenje ne izboljsuje.
Se opravičujem za nevednost, ampak kako pa lahko preverimo, ali je aplikacija, ki je objavljena na Storu/AppStoru res zbuildana iz tega gita, brez kakšnih dodatkov?
- prvi je, da ljudje ne vejo kaj aplikacija je in kako dela. Se vedno velja prepricanje, da aplikacija stalno posilja tvoje koordinate hojsu na email. - drugi je ta, da je drzava zajebala z marketingom te aplikacije. Namesto, da gre na tv nekdo z FRIja in kaze aplikacijo kot super, se je zacelo z janso in obvezno uporabo, svobodo, omejitvami itd., in nadaljuje spet z "obevezno" uporabo... ki ni obvezna, ampak je, ce hoces kam it. - tretji je ta, da imas na eni strani antijansiste, ki po dokoncnem odprtju ne bodo vec hoteli ven, samo zato ker je jansa rekel, da zdaj smejo. Isti ljudje se derejo, ko zapiramo drzavo, in ko odpiramo drzavo. Na drugi pa mas seveda jansevo vlado, ki se obnasa, kot da igra simcity... klik, sprememba tega, ups, sprememba nazaj, ups, sprememba na tretje, ingame timer je pa sel za tri dni naprej.... pa seveda igra, kot da ima cheat kodo za denar. - cetrti je ta, da smo za vse krivi "mi" in ne "oni". Vec kot polovica smrti je iz domov za ostarele (vsaj ce je bila cifra na rtv prava), kar pomeni da je za ~1145 (ce sem si prav zapomnil) smrti krivih nekaj deset tisoc ljudi, ki direktno in indirektno skrbijo za te ljudi, za manj kot to, je pa krivih ostalih milijon-devetsto-nekaj tisoc ljudi, ki jemo bureke in pice, ga pijemo po kleteh in kadimo na klopcah
Pac, ljudem dopizdi, zaprti so doma, ne smejo prakticno nikamor (zdaj mas en teden za trgovino, potem bos spet zaprt), zraven pa take nebuloze govorijo po tv in pisejo v odloke (ze ta primerjava verig za cez vrsic in aplikacije za v drugo obcino), da se javno mnenje ne izboljsuje.
Se čisto strinjam z to izjavo, predvsem drugo in tretjo alinejo. Skoz se oglašajo politiki in Kacin. Večina ljudi že tako ne mara politikov, pa da jim mešajo štrene in govorijo kaj smejo in kaj ne pa še manj (Vir: Slaba volilna udeležba zadnjih par let). Od daleč zgleda, kot da se kar nekaj izmišljujejo, ne pa da so neki tehtni razlogi, zakaj tako.
Teorija aplikacije ni slaba, izvedba pa je. In ja, prej bi zaupal kakim tehnikom, kot Jelkotu. Pa tudi če je aplikacija res koristna pri boju proti virusu. Če bom rabil iti čez mejo, bom aplikacijo naložil ker pač morem, prej pa ne (pa še to bo potem letela dol).
Nikjer ni garancije, da je bila res aplikacija iz tega repozitorija poslana na Apple npr. Tako, da kaj aplikacija v resnici dela ne vemo. Pac moj telefon tega skropucala nebo videl.
Ja, to je izvedljivo, a neumno. Če imaš toliko znanja, da znaš tako predelati aplikacijo, imaš tudi toliko znanja, da iz kode vidiš, da je aplikacija popolnoma neškodljiva in ti nikakor preko nje Hojs ne more slediti. Kar seveda pomeni, da je veliko bolj smiselno namestiti in uporabljati kar pravo verzijo kot pa se iti take trike. Pa še koristi imaš od tega, da te (mogoče) uspe opozoriti, da si bil v tveganem stiku.
Mogoče. Je pa dobra poslovna priložnost. Predelano prodaš znancem, ki prave ne bi namestili. Če si zares zloben, lahko zraven celo podtakneš kakšno sledenje, ker tebi pač zaupajo, saj jim je bratranec od znančevega kolega povedal zate, zato si sigurno zaupanja vreden.
Saj aplikacija ne oddaja, da si okuzen. Daj najprej preberi, kako aplikacija dela, pa potem dalje :)
Tega v resnici ne vemo. Objavljena aplikacija po poročilih nekaterih članov tega foruma uporablja tehnike prikrivanja kode. Take tehnike so popolnoma brezpredmetne, če ni česa prikrivati. Zato lahko z gotovostjo sklepamo, da avtorji želijo nekaj prikriti. Dalje lahko z gotovostjo sklepamo, da nima smisla prikrivati nečesa, česar bi bili uporabniki veseli. Bolj verjetno je, da prikrivajo nekaj, zaradi česar bi uporabniki ponoreli. Se kje motim?
Saj aplikacija ne oddaja, da si okuzen. Daj najprej preberi, kako aplikacija dela, pa potem dalje :)
Tega v resnici ne vemo. Objavljena aplikacija po poročilih nekaterih članov tega foruma uporablja tehnike prikrivanja kode. Take tehnike so popolnoma brezpredmetne, če ni česa prikrivati. Zato lahko z gotovostjo sklepamo, da avtorji želijo nekaj prikriti. Dalje lahko z gotovostjo sklepamo, da nima smisla prikrivati nečesa, česar bi bili uporabniki veseli. Bolj verjetno je, da prikrivajo nekaj, zaradi česar bi uporabniki ponoreli. Se kje motim?
Se vedno vidis kaj gre v net (tcpdump), in kaj se belezi v fajlih in bazah na telefonu.
O izdelavi Android aplikacij ne vem kaj dosti vendar - se mogoče app da zbuildat, izluščit checksum in ga primerjat s tistim iz javno objavljene aplikacije?
Zanimiva vrstica je: Opomba: pri naši postavitvi bosta združena Verification server in Portal server. Več informacij najdete na povezavi: https://github.com/corona-warn-app
Tega v resnici ne vemo. Objavljena aplikacija po poročilih nekaterih članov tega foruma uporablja tehnike prikrivanja kode. Take tehnike so popolnoma brezpredmetne, če ni česa prikrivati. Zato lahko z gotovostjo sklepamo, da avtorji želijo nekaj prikriti. Dalje lahko z gotovostjo sklepamo, da nima smisla prikrivati nečesa, česar bi bili uporabniki veseli. Bolj verjetno je, da prikrivajo nekaj, zaradi česar bi uporabniki ponoreli. Se kje motim?
Obfuskacija se lahko uporablja tudi za optimizacijo (inlinanje, krajši identifierji se hitreje pomatchajo, ker Java se linka v run-timeu ...). Vsaj po mojih izkušnjah je pohitritev kar opazna.
O izdelavi Android aplikacij ne vem kaj dosti vendar - se mogoče app da zbuildat, izluščit checksum in ga primerjat s tistim iz javno objavljene aplikacije?
Bi potreboval reproducible build, ki ga v tem primeru ni.
Beseda "strokovnajak" je v zadnje pol leta dobila negativen prizvok. Kriva je baje "raja". V kolikor je aplikacija poštena naj se objavi celotna izvorna kodo. Pa ne čez nekaj mesecev ampak še isti dan, ko bo sprememba narejena. Pregledali bi jo lahko programerji, ki se na zadeve spoznajo in takoj opozorijo, kateri podatki in kam se nalagajo. Ampak baje je vse transparentno, kot nakup medicinskih ventilatorjev. In potem se sprašujejo zakaj "raja" noče it še stotič na led. Saj počasi se tudi ljudje prebujajo. Mladina se bo pa takrat, ko ne bo dobila šihta zaradi objav, ki jih je pustila na netu.
Če bom rabil iti čez mejo, bom aplikacijo naložil ker pač morem, prej pa ne (pa še to bo potem letela dol).
Ja, v tem primeru bi si jo tudi jaz, samo ne bo delovala, ker potrebuje googlov spyware, ki ga na mojem telefonu ni. Ja, obup od aplikacije, forsira dva proizvajalca, tako jih bojo po buci dobili od kaksnega pravnika, da bo kar hudo.
The world has enough for everyone's needs, but not everyone's greed.
- Mahatma Gandhi
Če bom rabil iti čez mejo, bom aplikacijo naložil ker pač morem, prej pa ne (pa še to bo potem letela dol).
Ja, v tem primeru bi si jo tudi jaz, samo ne bo delovala, ker potrebuje googlov spyware, ki ga na mojem telefonu ni. Ja, obup od aplikacije, forsira dva proizvajalca, tako jih bojo po buci dobili od kaksnega pravnika, da bo kar hudo.
Če bom rabil iti čez mejo, bom aplikacijo naložil ker pač morem, prej pa ne (pa še to bo potem letela dol).
Ja, v tem primeru bi si jo tudi jaz, samo ne bo delovala, ker potrebuje googlov spyware, ki ga na mojem telefonu ni. Ja, obup od aplikacije, forsira dva proizvajalca, tako jih bojo po buci dobili od kaksnega pravnika, da bo kar hudo.
Lineageos?
Home made. Ampak ja, lineageos bi imel enak efekt.
The world has enough for everyone's needs, but not everyone's greed.
- Mahatma Gandhi
Lineageos ne preprecuje uporabe google play services (ki vkljucujejo exposure api) ki jih namestis ce das gor gapps. Brez gapps pa tudi aplikacije ne mores namestit :)
To si inštaliram in kažem policajem, če bi bilo treba.
A ni bolj enostavno odpreti kar sliko (print screen) in mu jo pokazati? :)
Pa print screen mora miti približno prave resolucije, drugače se lahko opazi, da je slika malo meglena in/ali razvlečena. Pa gor je tudi en znakec, ki utripa ... moraš še to simulirati, torej rabiš en filmček, ne print screena. Pa pri vsem skupaj še tvegaš, da te policaj, če ni neumen, pogrunta.
A ni bolj enostavno aplikacijo preprosto namestiti? Kje je problem? Mogoče zgolj iz principa, da se ne boš počutil kot "ovca"?
Očitno za 5k€ ne dobiš niti developerjev, ki bi znali git uporabljat.
Za 5k€ projekt bi jaz samo vprašal, kaj je to GIT. Malo denarja, malo muzike. Če pa misliš, da ti bo resen programer (še manj pa firma) za ta denar delal redne update, vestno komentiral kodo in updateal GIT repozitorij, pa imaš verjetno v mislih kakega freelance junior programerja.
Očitno za 5k€ ne dobiš niti developerjev, ki bi znali git uporabljat.
Za 5k€ projekt bi jaz samo vprašal, kaj je to GIT. Malo denarja, malo muzike. Če pa misliš, da ti bo resen programer (še manj pa firma) za ta denar delal redne update, vestno komentiral kodo in updateal GIT repozitorij, pa imaš verjetno v mislih kakega freelance junior programerja.
A.
Tudi za nekoga, ki naredi popravek za 50 € bi se spodobilo, da zna uporabljati git.
