Мидлет тоже должен быть подписан.
Аналогично как в обычном броузере на PC. Когда вы устанавливаете какой-нибудь апплет или ActiveX он говорит, эта прога сделана тем-то и тем-то, что подтверждается тем то. Установить?
В мобиле по умолчанию повыше безопасность, поэтому не доверяют всяким левым прогам.
Например, я хакер и выяснил, что есть клевый мидлет, позволяющий играть в сетевую игру, но за $ или это какой-нибудь online trading и т.д.
Если этот мидлет не подписан, то я делаю мидлет с тем же именем. Размещу его где-нибудь, накидаю в форумах на него ссылок, типа рулез и т.д. Притом ссылок, как Вы думаю знаете, можно набросать неочевидных, но это уже хакерские методы, другой топик.
Подмену сервера не так легко сделать, как иногда можно об этом услышать, но тоже возможно, если это не https протокол с
_нормальным_ сертификатом.
Дальше юзер качает его, вводит свой логин/пароль и мидлет отправляет их на мой сервер/почту и т.д, а потом
говорит, типа вам надо обновить версию и отправляет Вас на скачку уже реального. А пароль/логин хакер уже получил.
Таких атак навскидку можно несколько десятков придумать. Поэтому:
- если Вы работаете с важными данными - мидлет должен быть подписан и юзер должен знать, что устанавливать надо только такой милет.
ну и т.д.
Соответственно считается, если Вы юзаете https, то Вы работаете с важными данными, а значит см. выше.
P.S. Все немного сумбурно, времени нет подробнее написать. |
