книги хакеры / журнал хакер / 180_compressed

Можно бесконечно смотреть на огонь, воду и активность программ, изолированных в песочнице. Благодаря виртуализации ты одним кликом можешь отправить результаты этой деятельности — зачастую небезопасной — в небытие.

Sandboxie — это, безусловно, классика жанра. С помощью этой программы ты можешь не только изолировать деятельность приложений, но и обезопасить интернет-активность и улучшить приватность.

Вначале создается песочница и определяются настройки окружения, где будут пресмыкаться программы. Песочниц может быть

сколько угодно, с различным набором приложений и конфигураций. Тебе подвластны распределение прав доступа, настройка исключений, распределение ресурсов, поведение Sandboxie при завершении активности приложения и прочее.

Внутренний мир песочницы легче понять, очутившись внутри ее. Перетащи текстовый редактор в песочницу и попробуй сохранить файл с текстом на рабочем столе — Sandboxie перехватывает запрос и предлагает действие с сохраняемым файлом на выбор. Через настройки ты можешь заранее указать папки и файлы, которые подлежат быстрому или немедленному (то есть автоматическому) восстановлению. Файлы из песочницы могут быть удалены после завершения эмуляции — соответственно, смотри раздел «Удаление».

Управление Sandboxie вполне интуитивно, тебе не нужно вспоминать, добавил ты программу в песочницу или нет. Достаточно взглянуть на окно приложения: если оно помечено индикатором [#] в заголовке, имеет окантовку желтого цвета — значит, все под контролем Sandboxie.

Ты можешь прикрыть доступ к файлам, окнам, реестру, процессам, портам, сети и прочим лакомым ресурсам, а затем указать группы программ, для которых будут применяться соответствующие ограничения. Более того, о тебе уже позаботился разработчик, составив правила доступа для популярных приложений. Зайди в раздел «Приложения» и выставь настройки для знакомой тулзы, благо что здесь есть интернет-софт, утилиты и менее жадные к ресурсам представители. Немаловажно отметить, что Sandboxie располагает списком опций для популярных антивирусов и файрволов, это поможет избежать конфликтов, при их известной взаимной ненависти.

В Sandboxie обнаруживается очень полезный инструмент — монитор доступа к ресурсам. Посредством его ты можешь отследить запросы приложения к ресурсам. Эта информация нужна как для собственно контроля, так и для составления пользовательских правил блокировки.

Для тех, кто в Windows 8.1: придется подождать очередного обновления программы, с этой ОС Sandboxie на момент написания статьи не дружила.

Главная фишка Evalaze заключается в гибкости виртуализированных приложений: их можно запускать со сменных носителей или из сетевого окружения. Программа позволяет создавать полностью автономные дистрибутивы, функционирующие в эмулированной среде файловой системы и реестра.

Главная особенность Evalaze — это удобный мастер, который понятен без чтения мануала. Вначале ты делаешь образ ОС до установки программы, затем инсталлируешь ее, производишь тестовый запуск, настраиваешь. Далее, следуя мастеру Evalaze, анализируешь изменения. Очень напоминает принцип работы деинсталляторов (например, Soft Organizer: chemtable.com/ru/soft-organizer.htm).

Виртуализированные приложения могут работать в двух режимах: в первом случае опе-

рации записи перенаправляются в песочницу, во втором программа сможет записывать и читать файлы в реальной системе. Будет ли программа удалять следы своей деятельности или нет — решать тебе, опция Delete Old Sandbox Automatic к твоим услугам.

Множество интересных фич доступно только в коммерческой версии Evalaze. Среди них — редактирование элементов окружения (таких как файлы и ключи реестра), импорт проектов, настройка режима чтения. Однако лицензия стоит больше двух тысяч евро, что, согласись, несколько превышает психологический ценовой барьер. По аналогично неподъемной цене предлагается использование сервиса онлайнвиртуализации. В качестве утешения на сайте разработчика есть заготовленные виртуальные приложения-образцы (bit.ly/1cZphyZ).

BufferZone представляет собой песочницу с функцией файрвола. Этот гибрид далек от совершенства и актуальности настроек, но для контроля интернет-актив- ности приложений и защиты от вирусов BufferZone использовать можно.

Ушедший год для мобильных девелоперов, аналитиков и прочих стартаперов получился сверхнасыщенным. Еще бы — перевернулись концепции дизайна, разработка стала быстрее, в индустрию пришли по-настоящему большие деньги, да и в целом наметилось немало интересных трендов. Многие из них

являются логичным продолжением прошлогодних, но некоторые стали очевидны совсем недавно. В любом случае, если ты вдруг профукал мобильную разработку в 2013-м — здесь мы собрали все самое важное и интересное.

Дмитрий Власов,

Soulmatter

Мобильные SaaS-бэкенды (MBaaS) получили в этом году большое распространение. Одним из поводов стала громкая покупка Фейсбуком сервиса Parse и программное выступление Цукерберга, который призвал всех мобильных разработчиков переходить в облачные мобильные бэкенды. Главная мантра, которая позволила развиться многочисленным MBaaSпровайдерам, звучит так: «Не думайте о бэкенде, просто храните данные и управляйте ими».

Для обычного разработчика мобильного приложения на любой платформе это означает, что пользоваться масштабируемым, надежным и относительно дешевым сервером API можно, даже не имея в команде бэкенд-разработ- чика. Более того, почти все провайдеры PaaS для мобильных сервисов предоставляют фичи, самостоятельная разработка просто нецелесообразна — например, навороченная админка для данных, аналитика производительности, хранение статики, клиентский SDK для прямого обращения с данными из приложения, авторизация через соцсети и много чего еще.

В промотуториалах таких сервисов можно встретить заголовки типа «Как закодить Airbnb за один день» от Stackmob (stackmob.com) или «Сделаем свой Instagram в одиночку» от Parse

Parse предоставляет не только готовую платформу для бэкенда, но и прекрасную админку из коробки

Псевдоплоский интерфейс Gmail не отказался от состояния нажатой кнопки и ховера

Скевоморфизм вместе с кожаными переплетами и бумажными паттернами задвинут на дальнюю полку, на смену ему пришли чистые экраны с минимумом элементов, отсутствием градиентов, заблюренными картинками и большой ролью текста как управляющего элемента. В 2014 году дизайном правят не декорации, а контент. Плоскими стали не только экраны, но и иконки приложений — теперь хоумскрины iOS-девайсов заполняют квадратики с равномерной заливкой вместо псевдообъемных образов.

Для разработчиков и дизайнеров новая мода на плоскость оборачивается тем, что непродуманный интерфейс больше не скрыть за красивыми картинками, а сделать очевидную глупость стало еще проще. Если строго придерживаться канонов флэт, можно кнопки сделать неотличимыми от статусных элементов, а метафоры одноцветных иконок — непонятными, чем окончательно запутать юзера. С другой стороны, несогласованный дизайн вроде тоже плохо, хотя сама iOS 7 демонстрирует элементы с градиентом и без, минималистичные и перегруженные деталями, чем вызывает бурю критики. Если смотреть в правильную сторону, UX-инженеры выделяют дизайн Gmail как удачно сочетающий флэт и тени, за счет чего он получается чистым, но при этом понятным.

Если с дизайном все стало сложнее, то с точки зрения реализации приложения становятся легче и быстрее в реализации, так как теперь интерфейс во многом строится программно, а не графически. Кроме того, свежесть парадигмы еще позволяет делать «модные» интерфейсы, пользуясь только нативными элементами и не изобретая велосипед. Хотя наверняка уже через полгода-год дефолтная плоскость iOS 7 всем надоест и придется придумывать что-то новое.

Если ты хотел сделать зарабатывающее мобильное приложение в 2010 году, то, в принципе, мог ограничиться iOS-платформой и забыть про Android, так как он был ущербно мал с точки зрения доли пользователей и вообще не существовал с точки зрения оборота внутренних покупок. Сегодня игнорируют Android только полные яблокофилы, поэтому кросс-платформенные фреймворки стали объектом пристального внимания.

За год в этой области произошло много интересного. Google в Android KitKat наконец сделала оптимизацию исполняемого кода и рендеринга веб-страниц внутри приложений. А Microsoft в октябре объявила о всесторонней поддержке Xamarin. Но самый крутой показатель роста интереса к фреймворкам можно наблюдать в вакансиях мобильных разработчиков, где появились места с названиями в духе «Xamarin-разработчик».

Фреймворки облегчают твою девелоперскую жизнь примерно так же, как и MBaaS, только

на клиентской стороне. UI можно писать на чистом HTML5/CSS/JavaScript, чтобы потом показать в приложении в виде WebView-компонента (так делают Adobe PhoneGap phonegap.com и Sencha sencha.com), можно писать на нестандартном JavaScript и CSS, чтобы потом скомпилировать в нативный код для каждой платформы (как в Appcelerator Titanium appcelerator.com), а можно вообще отказаться от общего интерфейсного кода и шарить только бизнес-логику, написанную на C# (как в Xamarin xamarin.com). Плюсы и минусы каждого подхода понятны — JS-код в веб-компонентах исполняется обычно медленно, а UI, сделанный на PhoneGap без плагинов, будет выглядеть как с другой планеты. С другой стороны, супернативность, продвигаемая Xamarin, потребует от тебя умения писать на всех платформах и, кроме того, знания само-

В то время как Google активно внедряет инновации в главный магазин приложений на планете, Apple почти не трогает свой App Store уже который год подряд. Play Market обзавелся настоящей аналитикой, работающей на основе Google Analytics и позволяющей узнать важные вещи вроде источников трафика на страницу приложения, конверсии в установки и общего количества просмотров. Все, что понравится твоим маркетологам :).

Кроме того, Play Market получил отличный редизайн веб-версии и стал щеголять большими скриншотами, удобным списком приложений категории и много чем еще. Добавь все это к уже имеющемуся набору из встроенного режима тестирования (TestFlight в магазине), возможности отвечать на комментарии и размещать промовидео и получишь систему, идеальную для разработки и дистрибуции, не в пример App Store. А самое главное — выкладывая приложение в Play

Компания Appcelerator (appcelerator.com) ежегодно проводит опрос среди мобильных разработчиков, в котором спрашивает, чем они сейчас занимаются. В 2013 году доля девелоперов, работающих над приложениями для бизнеса (B2B) или приложениями для сотрудников корпораций (B2E), выросла почти в два раза до 43%. Очевидно, что этот тренд будет только нарастать благодаря всем подогревающим факторам — высоким ценам на пользователя, высоким зарплатам разработчиков и интересу компаний к мобильным штучкам. Разработать консьюмерское приложение и зарабатывать на нем в нынешней ситуации очень непросто. Чтобы сделать его масштабируемым, ты должен понимать, сколько стоит поль-

зователь и сколько он будет способен в среднем тебе заплатить. При нынешней стоимости привлечения в 30–40 рублей и конверсии в платежи

Все больше разработчиков ориентируются на эн-

терпрайз

5%, тебе нужно добиться огромного среднего чека в 600 рублей.

С каждым годом развития App Store становится понятнее, что эта площадка — поле битвы небольшого числа паблишеров-гладиаторов за несколько сотен мест в топе. Все остальные миллионы приложений — это кладбище без трафика и прибыли.

То ли дело разработка для корпораций. Малейшая оптимизация бизнес-процесса с помощью мобильных девайсов принесет миллионный профит. Под заказную разработку для компаний можно спокойно нанимать разработчиков с высокой зарплатой, тратиться на офис и радоваться тому, что индустрия мобильной разработки — крайне прибыльная штука.

Защитные

амулеты

Лучшие приложения, которые превратят андроидофон в неприступный гаджет

Как бы ни старались инженеры Google сделать Android более безопасной ОС, когда дело касается юзабилити, им приходится идти на уступки. Вроде бы можно заставить пользователя применять длинный пароль на экране блокировки, но это создаст неудобства; можно зашифровать содержимое карты памяти, но как быть, если юзер вставит ее в другой смартфон? Компромиссы, компромиссы, компромиссы… А если самим сделать то, что Google не может?

Евгений Зобнин zobnin@gmail.com

ВВЕДЕНИЕ

Смартфон, планшет, умные часы. Все это мобильные гаджеты, которые теряются, крадутся, вымогаются, продаются первому встречному. Хранить важные для себя данные в таком девайсе не то что опасно, а сродни выставлению на всеобщее обозрение: взял чужой телефон и за пять минут узнал, с кем человек общается, кому

ичто пишет, его пароли на сайтах и количество оставшихся денег на счете и кредитной карте (ну ладно, платить по NFC еще нельзя, и то хорошо).

Понятно, что от непрошеных гостей можно поставить пин на экране блокировки, однако для человека, обладающего хоть десятью граммами серого вещества, не составит труда обойти все эти пины вместе с фейсконтролями (да и отпечаток пальца в iPhone 5s, чего уж там). Шифрование данных? Да, в Android с недавнего времени есть возможность настроить шифрование всех пользовательских данных, да так, что ни один математик не вскроет. Проблема только в том, что они расшифровываются при включении смартфона

иостаются открытыми все время его работы. А карта памяти так и вообще доступна всем и вся, даже если ее физически нет в смартфоне (это я про эмуляцию карты памяти в нексусах).

Что еще? Да в общем-то, все. По сути, это весь набор защитных механизмов, которые может предложить ОС в борьбе атаками, основанными на, так сказать, доступе к телу. Есть, конечно, еще разные цифровые сертификаты, шифрованная передача данных по сети и прочее, но все это относится к сетевому взаимодействию. А вот против ручного вмешательства защиты почти никакой. И мы должны это исправить.

ДО И ПОСЛЕ

Вообще говоря, все виды защиты смартфона (да и всего что угодно) можно разделить на две простые логические группы: те, что применяются как заблаговременные превентивные меры, перекрывающие доступ к какой-либо информации (пин, пароль, шифрование), и те, что должны сработать уже после того, как злоумышленник получил доступ к смартфону. Ко второму типу в основном относятся разного рода системы уда-

ленной блокировки и поиска, но это также и более изощренные системы, например те, что умеют делать незаметные снимки фронтальной камерой и совершать обратный звонок. Мы рассмотрим их позже, а пока разберемся с тем, как и что мы можем защитить заблаговременно.

ПАРОЛИ

Первое, что приходит на ум, когда речь заходит о защите информации, — это, конечно же, пароли. Android в смысле обращения с паролями использует несколько стандартных для многих мобильных и не очень систем методику. Пароль Google вводится один раз, после чего на его основе генерируется аутентификационный токен, который сохраняется в памяти устройства в открытом виде, но может быть использован для доступа к аккаунту только с данного смартфона, а в случае утери девайса отозван через вебинтерфейс. Таким же образом действуют многие другие приложения, включая Twitter и Facebook. Что-либо изменить в таком поведении невозможно, да и бессмысленно.

Для хранения браузерных паролей используется другая методика. Все введенные и сохраненные в браузере данные записываются в файл

/data/data/com.android.browser/webview.db, и, хотя штатными средствами просмотреть его невозможно, имея root (а мы ведь любим рутовать смартфоны), легко скопировать файл на соседний смартфон, а затем проанализировать его с помощью любого приложения для просмотра баз SQLite 3.

Я бы хотел сказать, что для создания необходимого уровня безопасности браузер должен запрашивать у пользователя мастер-пароль для расшифровки сохраненных паролей, однако очевидно, что в данном случае имеет место очередной компромисс. А уж как обойти этот компромисс, решать нам. Один из способов — это просто не сохранять пароли в браузере и вводить их каждый раз заново. Удобно? Не думаю.

На компах многие привыкли использовать для решения этой проблемы специальный софт типа KeePass — он хранит все пароли в одном зашифрованном контейнере, который открывается

при вводе мастер-пароля. Что мешает нам использовать тот же софт на Android-смартфоне? Ничего, приложение Keeper Password & Data Vault, которое можно найти в маркете по цене 0 рублей 0 копеек, справляется с этой задачей на ура. Возможности приложения:

•работает везде: Android, iOS, Windows, OS X, Chrome, Firefox;

•синхронизирует базу паролей между разными инстанциями;

Сразу после запуска Keeper запросит мастер-

пароль для шифрования паролей