in reply to j.r / Julian

mastodon - Link to source

IzzyOnDroid ✅

@jr Wenn, dann "nur manuell bei der Aufnahme" – weil danach wird m.W. nicht mehr (aktiv) danach geprüft. Und anders als bei Debug-Zertifikaten (auf die Du Dich hier wohl mit "mindestens auch" beziehst), kann ein Self-Updater nachträglich mit einem Update eingeschleust werden – was leider auch bereits häufiger geschah. Fällt bei F-Droid.org nur auf, wenn es jemand meldet – bei mir fällt es auf, weil u.a. die entsprechende Berechtigung und auch updater-libs automatisch erkannt werden.
@j.r / Julian
in reply to Kuketz-Blog 🛡

mastodon - Link to source

Underfaker

Der Text ist aufgrund vieler sprachlicher Fehler etwas anstrengend zu lesen (dazu der Verweis auf Substantivkomposita (im Volksmund wird das Gegenstück auch Deppenleerzeichen genannt)). Dazu gibt es inhaltliche Fehler. Netzwerkverkehr lässt sich auch ohne Zertifikat verschlüsseln. MITM hat wenig mit verschlüsselt/nicht verschlüsselt zu tun, sondern damit, ob mein Gesprächspartner überprüfbar ist.
in reply to Underfaker

mastodon - Link to source

IzzyOnDroid ✅

@Underfaker "Netzwerkverkehr lässt sich auch ohne Zertifikat verschlüsseln": Ist in keinem der von mir derart identifizierten Fälle geschehen. Davon ab, diesen "inhaltlichen Fehler" muss ich leider "nach oben" weitergeben: wie an den Anführungszeichen erkennbar, ein Zitat 😉

"MITM hat wenig mit verschlüsselt/nicht verschlüsselt zu tun, sondern damit, ob mein Gesprächspartner überprüfbar ist." Genau das soll die Verschlüsselung (mit dem Zertifikat der Gegenseite) ja sicherstellen, gelle?

@Underfaker
Unknown parent

mastodon - Link to source

IzzyOnDroid ✅

@eighthave @setiathome iod-scan-apk würde dem LibraryCheck entsprechen, wenn es denn benutzt würde. IssueBot läuft nicht bei Updates, nur bei RFPs. Bei MRs siet letztem Jahr auch nur manuell. Bei RFPs vermisse ich seit Monaten die Ausgabe des Moduls – was darauf hinweist, dass es wohl nicht mehr läuft oder die Ausgabe verloren geht (was in der Vergangenheit ja schon öfter der Fall war).
@Hans-Christoph Steiner
in reply to Kuketz-Blog 🛡

mastodon - Link to source

Hans-Christoph Steiner

Nice idea to check usesCleartextTraffic, but that particular check isn't worth much since, as the docs say:

> This flag is ignored on Android 7.0 (API level 24) and above if an Android Network Security Config is present.

Sounds like the IzzyOnDroid scanner would not catch `android:usesCleartextTraffic="false"` then in the Network Security Policy, sets `<base-config cleartextTrafficPermitted="true" />`. From what I've seen, most apps use Network Security Policy anyway.

1/

in reply to Hans-Christoph Steiner

mastodon - Link to source

IzzyOnDroid ✅

@eighthave It's true my scanner would currently not catch that special case (thanks for the pointer, will look if I can get that in, too – remember other than F-Droid, I'm only running a "simple binary repo" here) – but at least it was catching loads of the "simple cases" instead of none at all 😉 So good to see this is finally addressed at F-Droid as well. As for "what's missing", you might wish to check … (1/x)
@Hans-Christoph Steiner
in reply to IzzyOnDroid ✅

mastodon - Link to source

IzzyOnDroid ✅

@eighthave (2/3) gitlab.com/fdroid/admin/-/issu… from 12/2022 which, when brought to my attention in 1/2024 immediately triggered the changes from gitlab.com/IzzyOnDroid/repo/-/… discussed here – and the blog article you've asked for in 10/2022 at gitlab.com/fdroid/fdroidserver… – apologies it took me that long to write it though I knew it since 1/2024, but I wanted to check thoroughly before. F-Droid does have those signing block issues as well with reproducible builds (as the two issues point out), so I hope …

additional APK checks (#475) · Issues · IzzyOnDroid / repo · GitLab

A discussion on different topics raised ideas for security improvements, from which it is worth to adopt some additional checks:
GitLab
@Hans-Christoph Steiner
in reply to IzzyOnDroid ✅

mastodon - Link to source

IzzyOnDroid ✅

@eighthave (3/3) you have that focused as well? Be welcome to use the details from issue 475 in my repo (gitlab.com/IzzyOnDroid/repo/-/…) for it.

additional APK checks (#475) · Issues · IzzyOnDroid / repo · GitLab

A discussion on different topics raised ideas for security improvements, from which it is worth to adopt some additional checks:
GitLab
@Hans-Christoph Steiner
in reply to Hans-Christoph Steiner

mastodon - Link to source

IzzyOnDroid ✅

@eighthave "From what I've seen, most apps use Network Security Policy anyway." from what I've noticed, too many do not while simply setting cleartextTraffic to true – which often meant they were not aware of the implications. After I told them (in issues I've opened) they either removed that entirely, or THEN started to use network config, to e.g. pin cleartext to localhost when it was only intended for that.

Opened gitlab.com/IzzyOnDroid/repo/-/… to keep an eye on it, though. Thanks for the pointer!


check for cleartextTraffic in network config as well? (#524) · Issues · IzzyOnDroid / repo · GitLab

As pointed out by @eighthave our manifest check for android:usesCleartextTraffic (from...
GitLab
@Hans-Christoph Steiner
in reply to Hans-Christoph Steiner

mastodon - Link to source

IzzyOnDroid ✅

@eighthave Just to make sure, Hans: You are aware that

1) Issuebot currently only runs on RFP (it's disabled for MRs since last summer "for reasons"), and that

2) iod-scan-apk.php was not run for at least half a year as (I guess) the location of the APK file is not passed to it via the environment variable with the APKs you pull for the (other) "Scan APK" module? I've pointed that out multiple times in the past already, but I'm not sure whether it "registered". @setiathome @kuketzblog

@Kuketz-Blog 🛡 @Hans-Christoph Steiner
⇧