🔥[Belyaev_Podcast] - Выпуск №2🔥 ➡️Тема подкаста: Защита данных в Android и iOS-устройствах. Правда и мифы 🎤Ведущий: CISO и независимый эксперт - Беляев Дмитрий 👨 🤝Приглашенный гость: Независимый эксперт по тестированию на проникновение Android/iOS & Android-разработчик - Игорь Кривонос 🧔🏻 Подкаст о реальных угрозах Android и iOS, опыте пентестера, защите данных и современных методах мобильной безопасности. 00:00:33 — Представление гостя — Игорь Кривонос, гуру мобильной безопасности 00:01:08 — Просьба рассказать о ключевых вехах карьеры 00:01:32 — Игорь: путь от Android-разработчика к пентестеру мобильных приложений 00:02:32 — Работа в Stingray и Bizon, опыт bug bounty и автоматического поиска уязвимостей 00:03:30 — Почему Android-приложения собирают больше данных, чем думает пользователь 00:03:59 — «Данные — новая нефть»: бизнес-модель тотального сбора информации 00:04:59 — Сторонние библиотеки (Firebase и др.) перехватывают данные даже в «безобидных» аппах 00:06:14 — Вопрос: где хранится огромный объём мобильных данных и удаляется ли лишнее 00:06:59 — Ответ: Big Data, MapReduce и оптимизация, всё хранится так, как выгодно бизнесу 00:08:05 — Эксперимент: отключаем Google-сервисы — большинство приложений «ломаются» 00:09:10 — Android против AOSP; Apple тоже собирает максимум, но закрывает экосистему 00:10:59 — Как защитить банковские данные на рутированном устройстве 00:11:17 — Совет: не ставить банковские клиенты на Root/Jailbreak — это снижает безопасность 00:11:54 — Почему приложения запрашивают микрофон и могут слушать в фоне 00:12:16 — Разница: системные Google/Apple vs сторонние приложения и роль разрешений 00:13:07 — Уязвимости позволяют обходить запреты даже при отозванных разрешениях 00:14:29 — Как обычному пользователю обнаружить скрытую прослушку 00:15:03 — Продвинутые методы: анализ API-вызовов и спуск на уровень Linux 00:16:03 — Кейс: Яндекс и Meta обходили песочницу, собирая данные браузера 00:17:21 — Может ли Android-разработчик легко стать хакером — нужен глубокий системный пласт 00:18:35 — Модель атак: массовая малварь vs таргетированные эксплойты 00:20:29 — Почему вредоносные APK всё-таки пролетают мимо проверок Google Play 00:21:20 — Манифест и система Runtime-permissions: как они должны работать 00:23:45 — Store-сканирование: что отлавливает и что пропускает автоматический анализ 00:26:03 — Пробелы модели разрешений: пользователь устает читать длинные списки прав 00:28:47 — Вопрос слушателя: риски приложений-посредников к системным разделам Android 00:30:39 — Ответ: сканирование маркетов ограничено, продвинутые шпион-аппы всё же проскакивают 00:31:34 — Три типа зловредов: социальная инженерия, «серые» схемы и эксплойты ядра 00:34:59 — Совет: разделяйте факторы — смс-коды и паспорта не держать на одном устройстве 00:35:16 — Почему нельзя хранить токены в Shared Preferences 00:40:35 — Разработчики и шифрование: Google KeyStore упрощает, но нюансов всё ещё много 00:54:07 — Пример: приложение с доступом к внешнему хранилищу может сливать фото в сеть 01:03:32 — Геолокация — не только GPS: куча побочных метаданных выдаёт место пользователя 01:10:45 — Открытый Android ломают все, но закрытые системы нередко дырявее 01:12:52 — Что делать после компрометации телефона: проверка банков и сброс до заводских 01:30:38 — Шутка об утечках паролей и важности менеджеров паролей 01:52:43 — История: одновременный выход из строя пяти устройств, связанные риски 01:54:01 — Спрос на мобильных пентестеров высок; советы новичкам и ресурс OWASP MASTG 01:56:36 — Финал: итоги, благодарности гостю, анонс будущих выпусков 01:57:04 — Прощание со слушателями и закрытие подкаста