А вы отчаянный.

А в чём отчаянность? ПО такого рода по-определению блоб завязанный на TEE куда никакой AOSP не влезет.

Берёшь и пользуешься. Работает, до тех пор пока нет доступа к root.

Поставь приложение Тинькоффа

так же, как и на стоке
ваш к.о.


магиск умеет маскировать себя
фингерпринты ос правятся если что

Да везде одинаково...

Если о ведроиде. Приложение, использующее NFC ломится к модулям ядра, обменивается с оборудованием сбора данных (терминалом) данными при их помощи.

В то же время приблуда регистрируется через сеть (как правило мобильную) в интерфейсе приложения банка и отмечает там факт транзакции (перевода) успешного или нет, не столь важно, со счёта №, привязанного к карте № и принадлежащей пользователю имярек. Важнее всего счёт и сумма, но нас это не сильно касается. В принципе, процесс полностью сходен с реальной физической картой. Считайте, что в тело телефона в приложение, прописан слепок Вашей карты.

Нас куда как больше касается что в случае самосбора из AOSP или иных аналогичных линейко-осах и прочем, может оказаться что тело мобилы рутованное и в таком случае банковский клиент может напрочь отказаться работать, дескать устройство подломлено, по соображениям всяческой секьюрности идите на фиг (как-то так).

Я правильно угадал вопрос? =)))

Не шаришь как оно работает и врёшь людям. Минимум 3 раза соврал.

Для ОП-а: наличие полноценных (не заглушки. Это важно!) рабочих гуглосервисов с подвязанной реальной учётной, отсутствие или невозможность детектировать root-тование телефона, заблокированый загрузчик и ядро с необходимым комплектом блобов. Ну и собственно NFC.

Да хорош уже!

отсутствие или невозможность детектировать root-тование телефона,

У чего отсутствие или невозможность? У гуглосервисов? Гуглосервисам важна платёжная система только в случае google pay. Тогда же важна и учётка гугля. Samsung pay или Сберовская система им похрен. Как и похрен телефону. В свою очередь и Сберу и Самсунгу похрен гугловая учётка. Максимум что их волнует – из доверенного ли источника была произведена установка. Но, зная сколько троянцев в гуглосервисах (конкретнее в гугл аппсах) живёт и не кашляет, и Сберу и Самсунгу чуть более чем наполовину похрен. Чисто по формальному признаку. Типа, оттуда поставились из доверенного источника.

Приблуды (сберовская например) сама умеет определять рутован телефон или нет. Это тоже не проблема. На ряде катайских моделей было смешно, да. =)

заблокированый загрузчик и ядро с необходимым комплектом блобов.

Бегом матчасть учить. В любом ARM-процессоре при загрузке он проваливается на уровень EL3, где крутится своя ОС, реализуя ТЕЕ (trusted execution environment). Если она там не крутится, то это другой вопрос. А эта самая ОС на уровне EL3, как раз и есть блобы. И производителю софта для оплаты по NFC, чуть более чем совсем похрен что там и на каком уровне. Ему хватает прикладного API самой по себе системы для решения его задач. У него систем азагружена, работает, он и использует её API, не влазя в излишние для него «подробности».

Короч нужно поставить open gapps https://opengapps.org/ это сервисы гугла которые, а потом поставить google pay и привязать к нему карту. И если нет рута, то все должно заработать

По поводу гуглосервисов - согласился. Корректнее было написать: софт компании-фасилитатора.

По поводу tee: а, ну удачи токенизировать реальную карту в виртуалке qemu с op-tee (https://optee.readthedocs.io/en/latest/building/devices/qemu.html) или на какой-то плате для разработчика. В прочем уточню: под залочкой загрузчика имел в виду корректно настроеный и включённый secure boot с полным chain of trust.

Это не так делается.

Прежде всего, я не успел в свой коммент выше добавить вот это – Если интересует Сбер и его интеграция с подсистемой Android Pay вот ссылка по интеграции.

По поводу tee: а, ну удачи токенизировать реальную карту в виртуалке qemu с op-tee (https://optee.readthedocs.io/en/latest/building/devices/qemu.html) или на какой-то плате для разработчика. В прочем уточню: под залочкой загрузчика имел в виду корректно настроеный и включённый secure boot с полным chain of trust.

Subj. В том-то и дело что токенизировать карту и ненужно и не получится. Скажу по секрету – в TEE ни Вас ни меня не пустят без намордника. В наморднике тоже не пустят ни одного из нас.

Поверьте мне как доктору человеку, проведшему немало времени в развлечениях с TEE, он не для того нужен. «Крупными мазками» расписано вот здесь. Это именно что изолированная среда исполнения, которая работает строго в параллель с самим ведром и кодом, который крутится в ведре. И тут похрен что за код – банковское приложение или игорь с донатами и внутриигоревым стаффом. Ни одно из приложений ведра (и не только, т.к. ТЕЕ применяется несколько шире чем в ведре и абсолютно сходным образом) не имеет счастья поработать с ТЕЕ ни в каком виде.

Secure Boot это вобще-то тоже не в ту оперу с токенизацией карт. Это некие механизмы, позволяющие удостовериться что код загружаемой ОС это именно тот код, которое устройство имеет право загружать. И да, «корень доверия» aka chain of trust тут так же не при делах. Применительно к ведру про доверенную загрузку по ссылке можно почитать. Но это тоже «крупными мазками» и без деталей.

Это всё про «обеспечение безопасности ОС и приложений», а не про безопасность банковских карт. Банковские платёжные системы к этому всему относятся слабо, т.к. не пользуются напрямую этими сервисами. Банковским системам в принципе довольно системного API.

P.S. Уточню. В тексте выше «ведро» == «андроид». А то мало ли… =)

P.P.S. Да, я то же не совсем прав. Android Pay как подсистему поменяли на Google Pay. Что стоит за сменой я не знаю. Могли как просто поменять название, так и переписать на хрен всю часть данного API. Замечу справедливости ради.

Если говорить о реализации hce у международных платёжных систем, то для добавления карты вообще не нужно контактировать с сервисами процессинга эмитента, а вот с сервисами компании-фасилитатора - необходимо. Как правило это делается не на прямую, а через библиотеки от фасилитатора. Весь виденный мной в дикой природе софт от компаний-фасилитаторов проводит аттестацию устройства. Также тот факт, что устройство загрузило правдами и неправдамти операционку не гарантирует, что оно стартанёт нормально модуль hce так как упомянутый выше tee, похоже, сам проводит аудит настроек на которых стартует и аттестацию устройства. Вот тут как раз secureboot и chain of trust очень даже причём и да, на уровне софта-фасилитатора это вызов api tee, самоконтроль своей целостности и зашитые в софт открытые ключи от вендоров. Именно так оно палит, что это не эмулятор Васяна ему говорит, что всё ок. Хотя и это, наверное, можно обойти но это совсем «звезду во лбу» иметь надо. Без модуля hce не получится добавить полноценную карту в устройство и производить оплаты без отката на старую версию.

Разница между андроид пей и гугл пей принципиальная: в случае андроидпей все данные в гугловом облаке и запрашиваются оттуда при каждой операции + кеш с использованием tee. Гуглпей же может работать со спец. железом если такое есть на борту. Грубо говоря там такой же чип как и на чиповой карте со всеми вытекающими операциями генерации ключа и т.д. как при эмиссии нормальной чиповой карты. Этот вариант гораздо получше т.к. ключ у тебя неизвлекаемо хранится на телефоне и в ПЦ эмитента. На первый взгляд это противоречие, но если нагуглить подробности об эмиссии чиповых карт то всё станет на свои места. Также tee может его снести в случае шухера (например, пункт меню разработчика о разлочке загрузчика в линейке гуглотелефонов). Для тебя, как для клиента разница будет ощутима только на больших авторизационных лимитах и на интересных классах карт т.к. транзакции с честным аппаратным hce более доверенные. Также может влиять на опротестование транзакции но это очень отличается у разных банков.

Выходит, что мы изначально о немножко разных вещах дискутировали.

Я не пробовал, но говорят magisk + opengapps + костыли для сертификации. До стадии сертифицированного устройства я lineage доводил, но nfc далее не прикручивал.

Поставил, а оно не работает. Главный экран пустой. Поддержка морозится. Послал их короче.

На линейке 15,1 с пико гапсами работал через гуглпай до осени 19 года, потом бесконтактная оплата отвалилась но платежи онлайн через гуглопай остались. Конечно же без рута. На 16 линейке не проверял, на моем зте не не все аппаратные функции завелись. Линейки основаные на 10 андроиде не щупал. Сейчас вернулся на стоковуб прошивку.

п.с. так то за более точной инфой вам бы на какой нить 4pda сходить.

Более-менее, я просто чет думал там гуглосервисов нет, а без них гуглопэй не заведётся.

О, спасибо!

Они пару-тройку лет назад отказались от самостоятельной поддержки nfc платежей в пользу google pay.

Нужно какое нибудь приложение, которое умеет в NFC без гуглопея. У меня работает связка yoomoney+microG. Для активации оплаты критична нормальная работа гугловских пушей, если карта в юмани не регистрируется скорее всего дело в них. По идее сберовское приложение тоже будет работать, но я не проверял. Ещё вроде что то такое есть у тинькова и киви.

Там может быть путаница.

Просто, иногда путают сервисы гугля и их же API. Что от чего зависит примерно понятно, но каково актуальное состояние я не особо сейчас скажу, т.к. переполз на Sailfish (нет, не на Аврору, а на чистую Sailfish OS) и теперь у меня всё нормально. Там всё проще – по сути, Linux и интерфейс на Qt. Хоть я Qt и не особо люблю, но это не с C/C++/JNI в ведре выдрючиваться как мухе на столе. QtCreator & rock’nd’roll. Других альтернатив нет. =)

Меня просто задолбало – а давайте изменим то, а давайте поменяем это… API поменяли – разбирайся заново… До соплей насобиравшись AOSP я как-то просто не выдержал.

А туда уже завезли NFC?:)

Да.

Выходит, что мы изначально о немножко разных вещах дискутировали.

Именно. И заодно извините, если я выше был несколько резковат. Подзадолбался к ночи уже.

Для полноты картины я только уточню один момент. Секьюр бут в принципе должен полностью контролировать загрузку девайса и ТEE должна контролировать работу девайса. Всё так.

Но на практике это не всегда работает. Есть как минимум две «широко известные» реализации. У Самсунг их KNOX (ага, именно для этого) и у гугля их решение на базе Little Kernel, тоже для этого. Остальные вендоры пытаются тоже что-то сделать, но выходит ху…, короче, на букву «х», но не подумайте что «хорошо». Это касается и Qualcomm (о нём речь ниже) и всех остальных, вплоть до huawei и безвестного «дядюшки Ляо».

Чтобы это всё работало, надо гарантировать неизменяемость корня доверия, т.е., тех сертификатов, которыми подписываем образы и их частей (для сверки подписей) в ПЗУ мобилы. Это можно сделать только путём пережигания фьюзов. Т.е., вшили ключи и «зафиксировали» их чтобы нельзя было подменить ключи и поменять на машинке ОС (ну, типа, чтобы ведро на оинейку не поменять). Однако, это не делается, иначе задолбались бы прошивки менять, поэтому вот чисто примера ради PDF про Qualcomm и атаки на TrustZone. Ну или вот, больше картинок по ссылке и тоже про Qualcomm.

К чему это я всё? А к тому что банковский софт не использует напрямую все эти механизмы защиты. Там всё проще делают как правило. Да и сама защита… Ну так, есть вроде.

У меня да.

Я открыл для себя HADK (hardware abstraction development kit), т.е., руководство по портированию Sailfish на тело. Ну и плюс то, что загрузчик я и сам могу написать и у меня есть доступ к чистым (без прошивок вовсе) тушкам прямо с завода (привет, дядюшка Ляо!). Т.е., я могу портировать путём, описанным в HADK (через заимствование дайверов из ядра ведра) или вовсе свою прошивку подготовить.

Обычно мало кто смотрит на сайте, но там есть SDK и есть типа установки «чистого» комплекта для разраба. А так-то там унутре линукс с меньшим числом извратов чем в ведре.

Так что, да. Если на девайсе есть NFC, то заставить его работать не проблема в принципе, если есть немного времени. Осталось теперь только софт для Сбера. Но тут… «сапожник без сапог». Задач столько, что некогда.

Как много букв для «слышал звон, да понятия не имею».

Счастливого пути.

.

Буду оригинален: оплата по NFC не нужна.
Проездные и прочая мелочёвка — пожалуйста. А доверять живые деньги что забагованному и зондированному андроиду, что мутной и зондированной айоси я ни за что не стану.
В конце концов, никакого дополнительного профита по сравнению с оплатой карточкой это не приносит, только лишний геморрой.
(здесь должна быть картинка из Joshiraku с рассуждениями о том, что телефоны надо оставить в покое и прекратить делать из них всё подряд, включая средства оплаты).

Оригинально, но несколько раз забывал дома бумажник и сильно выручала такая тема, учитывая, что приходится и за 50 и за 100 и за 300км от дома находиться. Да и тупо приятно иногда не таскать с собой лишнюю коробочку с кусками пластика и бумажками. Жду если честно - когда права туда же переведут.

А доверять живые деньги что забагованному и зондированному андроиду, что мутной и зондированной айоси я ни за что не стану.

Во-первых кому ты нафиг нужен, во-вторых у всех сейчас по несколько карт, вот можно привязать только одну, держать на ней до 10к. Не говорю уже о виртуальных картах, типа юмани и т.п..

Я тоже.

Жду если честно - когда права туда же переведут.

И права и ПТС/СТС и полисы ОСАГО-КАСКО все эти… Вроде как уже пилотные проекты пошли. В начале, правда, только права. Но МВД хочет чтобы и в «бумажном» виде оставались, насколько я понял. Чтоб и так и этак можно было. НЭу вдруг мобила помрёт или потеряется, мало ли.

А так-то через сайт госуслуг можно будет документы получать, если мы про «электронные».

А вот банковские свои дела отдавать в «чужие руки» как-то очково, не скрою.

С банковскими делами как-раз всё проще - есть различного уровня прокси карты, даже платинум класса.

Не знаю. Не исследовал этот вопрос.

есть различного уровня прокси карты, даже платинум класса.

Спасибо, гляну чё это за «зверьё». Но так-то если, то под Аврору по-моему, только один банк ногой дрыгнул написать своего клиента. ВТБ. И чем там дело кончилось я не знаю, но подозреваю что ни чем. Иначе бы журналтерьеры уже в лае заходились про то, что «русский убивец ифони обзавёлся нативным банк-клиентом».

Самой ОМП всё это на фиг ненужно. Они ушли на корпоративный нефтегазовый рынок и у них всё хорошо. Да и решили тоже в TrustZone удариться, видел их рассказ про это как-то. Так что, «ушли в себя, вернутся не скоро».

Тем, кто клепает оборудование, это всё пользовательское барахло, то же не нужно. Они тоже на нафть-газ ориентированны, а там ценник не гуманный, ну по крайней мере 100+т.р. за супер защищённый аналог китайского BlackView, который максимум 30т.р. стоит, я отдавать не готов например. Простому «Васяну с раёна» типа меня не светит то, что кто-то будет решать мои задачи. Люди делом заняты… Не нужно им мешать. =)))

Так что, остаётся только покупать в Китае тушки и самому развлекаться с ними. Была одна контора, правда, qtech. Не знаю при чём тут qt, но там тоже по ходу, всё печально. Тот же INOI R7 от другого производителя, апдейтов не видит и не увидит уже. На дворе уже 4-я версия сейлфиш, а тут ещё троечка только. И всем похрен, похоже.

И вот тут я не знаю будут ли банковские разговаривать с «энтузазистами». Скорее всего, нет. Так что, погляжу что там за звери такие эти прокси-карты, но надежд мало, скажу сразу.

Так это терь бизнес такой у сейлфишь продавать ребрендинг госконторам им нахрен не сдались какие-то жалкие коммерческие компашки и стартапчики, тем более спрос есть, тот же кейс с авроркой у них до-сих пор на сайте болтается.

Да. Видел их сайт.

И их форум со всеми полутора инвали… регистрантами. Уныленько как-то, согласен.

Так это терь бизнес такой у сейлфишь продавать ребрендинг госконторам им нахрен не сдались какие-то жалкие коммерческие компашки и стартапчики, тем более спрос есть, тот же кейс с авроркой у них до-сих пор на сайте болтается.

Ну да. Вот поэтому я чисто сам для себя и пилю по желанию. Я рад за то, что у людей всё хорошо, но… Мне-то тоже с дырявым ведром регулярно развлекаться не хочется. Поэтому я грязно выругался и перешёл на Sailfish. Я для себя, чисто для своего коммерческого спроса. =))) Ну не мешать же большим людЯм.

P.S. Я вот думаю – а не выложить ли мне все варианты своих развлечений куда-нибудь в открытом виде, да хоть на лорчик. Понятно конечно что заклевать и заплевать попытаются, но это как-то похрен, чесслово.

А оно разве открытое?

Буду оригинален: оплата по NFC не нужна.

Я нашёл одно действительно полезное применение: проверка и пополнение карты «Тройка». Я в Москве бываю пару-тройку раз в год, и пополнять её по приезде через кассы/терминалы по степени геморроя почти то же самое, что покупать разовые билеты, ну разве что по деньгам подешевле. Проще перед поездкой положить карту на телефон, проверить и при необходимости пополнить.
А так большую часть времени NFC у меня выключен. Есть отдельная расходная ВИЗА, куда периодически перекидываю деньги с зарплатной. Не вижу ни единой причины, чем это хуже пихания телефона в каждую дырку.

Ну лично я телефон дома оставлял куда чаще, чем кошелёк, это всё сугубо индивидуально.

P.S. Я вот думаю – а не выложить ли мне все варианты своих развлечений куда-нибудь в открытом виде, да хоть на лорчик.

Конечно, выложить, да хоть на гитхаб. :)

Форум-то?

Да вот же он – https://auroratalk.ru/ Как ни их форуме сказано, с 7 февраля 2019г. бултыхается.

Сейчас вот было смищщно… Попробовал с INOI R7 открыть их головной сайт (который auroraos.ru), не вынес длительного ожидания. ЛОРчик вот странным образом открывается на INOI R7 без проблем и быстро. Видимо, парни сами не используют девайсы на типа своей ОС. Странный подход конечно для нашего лидера в разработках для мобильных систем, но что есть, то есть.

Ну вот, о чём я и говорил – https://auroratalk.ru/threads/49/

Да я вообще над своим пабликом задумался уже.

Серваки есть, договорённости с ДЦ тоже есть, без проблем.

Остаётся пока вопрос как минимизировать последствия возможной деанонимизации. А лучше её вообще не допустить. Пока вот над этим думаю. На AWS вот не хочу. Почему-то… В общем, есть над чем поразмышлять.

Зависит от сборки, у меня проблем с оплатой нет, рут скрывается. Вопрос можно изучить для конкретного смартфона и прошивки на 4пда. Если вопрос доверия к сборке, то да, лучше сидеть на стоковой прошивке.

Маленько подумав...

А оно разве открытое?

Вчера я чего-то протупил, похоже, подумал что про веб-ресурсы Авроры речь идёт…

Но если про саму ОС вопрос, то оно «не до конца открытое», скажем так. Там есть закрытые вещи типа то, что сама Jolla или ОМП писали. Например, то, что начинается с Silica.

В принципе, вот более-менее правильная картинка что открыто, что закрыто. Фиолетовым показаны закрытые проприетарные компоненты типа тех же компонент Silica (ну например, там будет Silica Web Browser).

Всё остальное (показано зелёным) это чисто открытые стандартно-линуксовые компоненты системы, в т.ч. и systemd и вяленый (ну всё как мы любим, да). Система отчётливо ведёт свой путь от Maemo/MeeGo, так что по большей части подходы при сборке софта (Mer) и по самому софту взяты оттуда. Если была в руках в своё время Nokia N900, то поймёте о чём речь, там только GTK+ теперь поменяли на Qt и нет libhildon. Т.е., теперь считается что сразу Qt/QML и ни каких больше сишных гвоздей. Хотя, куда же без С, либы портировать при необходимости можно.

Говорю же – по отношению к ведру Sailfish больше линукс, чем ведро. По отношению к картинке есть пара уточнений. Во-первых, Qt там версии 5.6 уже, а не 5.2.

Во-вторых, тут на картинке есть Android runtime. Вот это сразу в жопу, если честно. Я понимаю почему для Sailfish OS RUS/Аврора его выкинули, но попробовав сам, я остался не особо доволен. Не всё и не до конца работает. Уже не помню в деталях, но палочкой я его потыкал и понял что на поддержку этого дерьма надо столько сил, что я сломаюсь на фиг. Ну нет ведроидных приблуд, да и хрен бы с ними, не для того мне девайс и нужен.

================

Теперь и Вам и уважаемому hobbit часть коммента. Чтоб два раза не вставать.

Чтобы понять вообще чё это за зверь, рекомендую поставить SDK. Брать лучше не авроровский, а нативный отседова. У меня в генточке всё поставилось, разве что права на доступ к USB для работы с реальной железкой надо было поправить и настроить USB network (для реальной железки там надо TCP over USB, но вам пока можно не морочиться, если нет мобилы). Авроровский SDK тоже встал, но потом он не осилил загрузить апдейты почему-то (я не колупал), в результате я остался на нативном.

Перед началом установки надо иметь на машине VirtualBox. Но вроде можно и с докером, но я этого не пробовал. В VirtualBox будет запускаться сама по себе система сборки Mer и эмулятор мобилы, т.е., будет создано две виртуалки в процессе установки. С уровня SDK мобилу не окирпичите, там дофига куда не вылезешь, разграничение по уровням всё таки работает, но лучше бы погонять софт в эмуляторе перед тем, как лить на мобилу. Это стандартный подход.

С ног сшибает то, что аппаратных кнопок нет как класса. Указатель мыши в данном случае работает как палец и все жесты (свайпы) выполняются мышью в данном случае. Об интерфейсе представление получите. Да и вообще ответ на вопрос – а на хрен оно мне это надо.

Примеры. «Их есть у меня…» Заходим на github, в строке поиска по гитхабу вводим harbour (по умолчанию софт для Sailfish начинается со слова harbour) смотрим и удивляемся. Вот, вроде, даже какой-то клиент для телеги есть. Работоспособность не проверял, у меня нет телеги.

Вообще, нельзя исключить того, что «портирование» примера из гитхаба тоже вызовет некоторые вопросы, т.к. нужно будет допортировать какие-нибудь либы. Либо их придётся брать из параллельных проектов, либо читать доку на софт и разбираться что же автор имел в виду.

По софту понятно что в готовом виде мало что есть. У авроры вроде, свой магазин приложений, у Sailfish свой и есть ещё openrepos, но там п-ц, господа.

В общем, для начального ознакомления IMHO, хватит. А там уже что открыто, что закрыто и как с этим жить (да и вообще стоит ли игра свеч) сами разберётесь.

Nfc card emulator (root)

Gaps stock- magisk - проверка safety или как там, должно быть все зелёное, после этого можно и оплачивать

карты в гугл пэй добавляются но пофакту оплата в магазинах не проходит ставил 18.1 17.1 один и тотже эффект не проходит платеж на официальной прошивки все проходит может сертификаты надо какието поставить если кто знает какие и как поставить скажите

Прочел еле-еле...

Долго пытался понять что Вы имеете ввиду.

карты в гугл пэй добавляются но пофакту оплата в магазинах не проходит ставил 18.1 17.1 один и тотже эффект не проходит платеж на официальной прошивки все проходит может сертификаты надо какието поставить если кто знает какие и как поставить скажите

Наверное, у Вас рутованная прошивка. В этом случае карты в Goolge Pay добавляться будут, но оплаты не будет. Софт просто откажется работать. И это правильно, т.к. в таком случае доверенной среды исполнения здесь ровно ноль. И тогда есть ненулевой шанс что Вашей картой будет пользоваться кто-то ещё помимо Вас. Такие разборки на фиг никому не нужны, поэтому на рутованных девайсах платёжные системы не работают.

Установка сертификатов тут не поможет.