Вот и я решил заглянуть, что там вообще с BB в KZ

@serj_ws

А что там с безопасностью TV - приложений?

Недавно перед релизом проводил анализ TV - приложения. Это сервис для умных телевизоров Samsung на TizenOS, просмотр ТВ-контента и платная медиатека.

Во время анализа я наткнулся на момент, который оказался куда интереснее всего остального.
Как и большинство подобных сервисов, приложение давало бесплатный тестовый период, примерно три дня. Логика простая, устройство определяется как уникальное, получает триал, а дальше либо оплата, либо доступ закрывается. В ходе анализа стало известно, что для идентификации используется MAC-адрес и DUID (уникальный идентификатор устройства). Получались они стандартными средствами Tizen API через webapis.network.getMac() и webapis.productinfo.getDuid().
Логика казалась выстроенной, но ключевой нюанс был в том, что MAC и DUID получались на стороне клиента.

Если источник данных сам клиент, значит их можно изменить?

После изучения документации стало понятно, что функции получения MAC и DUID - обычные jаvascript-методы в окружении Tizen. А значит, их можно переопределить до того, как приложение начнёт использовать их в своей логике.
Идея была простой: при каждом запуске возвращать случайные значения вместо реальных. Новое значение DUID, новый MAC - с точки зрения сервера это каждый раз новое устройство.

Я написал небольшой скрипт, который переопределяет webapis.network.getMac и webapis.productinfo.getDuid, подставляя рандомные данные перед инициализацией основного кода приложения. В итоге при каждом перезапуске сервис видел "новый телевизор" и снова выдавал триальный период.

<script src="$WEBAPIS/webapis/webapis.js"></script>

<script>
function GenFakeDUID() {
    const length = 13;
    const chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789'; 
    let result = '';
    for (let i = 0; i < length; i++) {
        result += chars.charAt(Math.floor(Math.random() * chars.length));
    }
    return result;
}

function GenFakeMAC(){
    var hexDigits = "0123456789ABCDEF";
    var macAddress = "";
    for (var i = 0; i < 6; i++) {
        macAddress+=hexDigits.charAt(Math.round(Math.random() * 15));
        macAddress+=hexDigits.charAt(Math.round(Math.random() * 15));
        if (i != 5) macAddress += ":";
    }
    return macAddress;
}

(function() {

webapis.network.getMac = function(){
    return GenFakeMAC();
}


webapis.productinfo.getDuid = function(){
    return GenFakeDUID();
}

})();

</script>

Фактически логика триала полностью обходилась без каких-либо сложных манипуляций. Не было взлома сервера, не было подмены трафика, только работа с тем, чему система доверяла по умолчанию. А еще, при такой реализации подписку можно оформить на одно устройство, а затем использовать ее на нескольких, так как система продолжает полагаться исключительно на клиентские идентификаторы.

Ради интереса я проверил и другие уже существующие приложения и оказалось, что многие из них устроены аналогичным образом.

@serj_ws

Говорят, в таких конкурсах честно выиграть невозможно, но ведь побеждают же люди...

@serj_ws

Откуда в Казахстане появляются «серые» iPhone?

Многие знают, что в Казахстане вступил в силу закон: все новые или недавно ввезённые телефоны должны проходить верификацию по IMEI коду. При этом ограничение распространяется независимо от модели или версии устройства. Тем не менее на некоторых казахстанских маркетплейсах до сих пор можно встретить «серые» iPhone последних поколений, а также другие свежие устройства, ввезённые неофициальными поставщиками.

При этом разница в цене может быть весьма существенной иногда 80.000-200.000 тенге между «серым» устройством и телефоном от официального дистрибьютора.

Если учитывать закупочную стоимость телефона, пошлины, доставку и комиссию маркетплейса, то маржа у продавца должна получаться совсем небольшой. Более того, она вряд ли оправдывает риски, связанные с продажей неофициально ввезённой техники.

Почему же тогда такие устройства стоят заметно дешевле?

Одна из распространённых схем ввоза связана с закупкой устройств в Китае. Продавец покупает смартфоны на китайских площадках и отправляет их себе. Возникает логичный вопрос: а как же НДС, таможенные пошлины и другие платежи?
На практике всё оказывается гораздо проще. Для доставки часто используют компании, работающие по принципу карго-логистики.

Например, сервисы вроде Jana Post принимают посылки на складе в Китае и доставляют их в Казахстан. Процесс выглядит довольно просто: при регистрации в приложении сервис выдаёт китайский адрес склада, который затем указывается при покупке на китайском сайте. В этом случае клиент оплачивает только стоимость доставки по весу, а сама доставка обычно занимает около 10 дней. Например, доставка нового смартфона из Китая может стоить всего около 4$.

Такие сервисы фактически позволяют обходить стандартную процедуру ввоза товаров для физических лиц, хотя по закону правила ввоза должны быть едиными для всех. Лимит беспошлинного ввоза в Казахстане составляет около 200 евро, после чего должны начисляться пошлины. Однако при использовании карго-доставки подобные ограничения часто просто не применяются.

Отличия «серых» iPhone из Китая

Однако у таких телефонов есть свои особенности. Например, устройства для китайского рынка обычно не поддерживают eSIM, а имеют два физических слота для SIM, а в настройках системы вместо привычной надписи Wi-Fi может отображаться WLAN. Эти мелкие детали часто и выдают региональную версию устройства.

Что с верификацией IMEI?

Возникает ещё один логичный вопрос: если телефон ввезён неофициально, его ведь должны заблокировать?

На практике продавцы нашли способы обходить и это ограничение. Один из них заключается в следующем: продавцы просят знакомых или родственников, живущих рядом с границей, формально пересечь её и вернуться обратно. После этого человек получает справку о пересечении границы.

Далее с этой справкой можно зайти на портал электронного правительства (eGov) и подать заявку на верификацию устройства, указав, что телефон был ввезён для личного пользования.

Иногда для этого привлекают и посторонних людей за небольшое вознаграждение.

В итоге устройство официально проходит верификацию, после чего его можно спокойно продавать, а продавец получает нормальную маржу.

Такая схема лишь один из возможных вариантов ввоза. На практике продавцы используют и другие способы поставки, которые могут применяться не только для смартфонов, но и для другой электроники.

@serj_ws