edición general
77 meneos
776 clics
He descompilado la nueva aplicación de la Casa Blanca (ENG)

He descompilado la nueva aplicación de la Casa Blanca (ENG)

La aplicación oficial de Android de la Casa Blanca incluye un inyector para eludir las cookies y los muros de pago, rastrea tu GPS cada 4,5 minutos y carga código JavaScript desde las páginas de GitHub de un tipo cualquiera.

| etiquetas: app , casa blanca
Seguramente haya maldad ahi, pero tampoco descartemos un nuevo caso de Vibe Coding que vibra tanto que te deja temblando....
#3 no se yo. Hay cosas muy concretas. Si ha sido vibe ha sido un vibe muy malo.
#3 La localización viene porque usan Signal. El código que muestra es del SDK de Signal (onesignal), no es del programador en sí mismo.

Remember withNoLocation from the Expo config? The plugin that's supposed to strip location? Yeah. The OneSignal SDK's native location tracking code is fully compiled into the APK.

Es una funcionalidad de Onesignal para enviar notificaciones y mensajes por región. Es cierto que lo debe activar el programador ya que está desactivado por defecto.

Más…   » ver todo el comentario
Si eres tan imbécil como para instalarte una aplicación de la Casa Blanca, seguramente esté información no te importará.
#5 Si eres tan imbécil como para instalarte una aplicación de la Casa Blanca

Es que hemos llegado a un punto ridículo. Nos tomó muchas décadas pasar de aplicaciones específicas a la web donde una sola aplicación (el navegador) sirve para todo. Ahora nos están llevando a instalar de nuevo aplicaciones para cada cosa. A veces es tan ridículo como que la aplicación es un simple browser capado para ver una única página.
"carga código JavaScript desde las páginas de GitHub de un tipo cualquiera."

Es una librería de código abierto con más de 700 estrellas.
github.com/LonelyCpp/react-native-youtube-iframe

Toda la industria funciona así.
Dependency: xkcd.com/2347/
#4 La APP de un gobierno NO deberia funcionar asi. No sera la primera ni la ultima vez que se usa una libreria como esa para poner patas arriba medio internet.

No podiamos esperar nada mejor que esto...una mierda , como todo lo que toca Trump
#6 "No podiamos esperar nada mejor que esto...una mierda , como todo lo que toca Trump"
Te lo repito: Toda la industria funciona así. (el 99.99999% de las aplicaciones que interactuas, tiran de codigo abierto. Empresas, institucione spublicas, bancos, ...)

Sea Trump una mierda o no lo sea (que lo es)
#7 Toda la industria te cobra millonadas por desarrollos exclusivos a medida que son copia pega de GitHub
#8 Ehmm... no.
En Github encuentras componentes, piezas, con las que construir tu aplicación.

Cuando construyes un robot, por poner un ejemplo, no diseñas y fabricas los multiples chips, sensores, motores, actuadores y componentes que vas a necesitar. Quizas alguno si te toque, pero no es la norma. Lo que haces es seleccionar que componentes usaras, orquestrarlo todo, configurarlo a medida de tus necesidades, integrarlo en tu diseño, e implementar la capa que hace de tu creación algo único.

Pues con el desarrollo de software es lo mismo.
No tiene ningun sentido reinventar la rueda
#7 No.
Una cosa es tirar de código abierto, y otra es que tu aplicación ejecute codigo abierto, bajado en el momento de ejecución de un repositorio que no es tuyo.
No seria la primera vez que ese repositorio de la noche a la mañana se convierte en maligno.
Esto se soluciona simplemente haciendo una copia de la librería de marraras a un repositorio bajo tu control, o embebiendo la libreria en tu distribución
#18 Sí, hay marranos que lo hacen… Pero cualquier aplicación seria mantiene su código fuente y copias de las librerías que utiliza en repositorios bajo su control. Al menos nosotros lo hacemos así. Debemos de ser ese 0,01 %.

Lo del enlace de XKCD no hace referencia a esto. XKCD hace referencia al bug en la implementación de SSH que permaneció oculto durante años. Miles de programadores tuvieron la posibilidad de examinar ese código y no lo vieron, hasta que alguien lo vio.

El hotlinking es…   » ver todo el comentario
#4 Yo prefiero siempre descargarme una copia de esas cosas y ponerlas en mi propio servidor. No tanto por paranoia sino por algo más sencillo: no depender de nada externo que pueda introducir otro punto de fallo.
#4 ¿Soy el único raro que ve eso muy inseguro y prefiere hacerse un fork?

Claro que quizás estás cargando decenas de librerías y no puedes tener todas las actualizaciones de todas en el radar.

Yo al menos nunca referencio directamente porque luego te pasas como con las librerías de google que el señor Tebas te las bloquea y te quedas sin estilos en la web. O me las descargo o referencio a un fork propio.
An official United States government app is injecting CSS and JavaScript into third-party websites to strip away their cookie consent dialogs, GDPR banners, login gates, and paywalls.

¿Una app para ver las noticias que te quita todas las cookies, muros de pago, solicitudes de registro y avisos de privacidad?

Que bien pensado, ¿algo equivalente pero para noticias de España?
un auténtico troyano
#2 Peor, un trumpiano
Chorprecha!!
> An official United States government app is injecting CSS and JavaScript into third-party websites to strip away their cookie consent dialogs, GDPR banners, login gates, and paywalls.

Pues lo que hace mi firefox vitaminado. Bien por trump, greatest developer.
It took a few minutes to pull the APKs with ADB, and threw them into JADX.

No conocía JADX, qué bueno. Me lo apunto.
poco me parece.
muy poco me parece.

menéame