Якщо ви торгуєте на Betfair Exchange і розглядаєте Андроїд інструмент для вашого смартфону, є одне питання, важливіше за функції чи швидкість: чи можна йому довірити свій акаунт на біржі Betfair?
Зламані акаунти, викрадені облікові дані та підроблені застосунки, що видають себе за справжні – це реальні проблеми у сфері Android-трейдингу. Вони ж є головною причиною, чому більшість трейдерів залишаються на десктопних інструментах, які вже добре знають.
Розглянемо архітектуру безпеки BetOnDroid: як працює аутентифікація, що охоплює сертифікація Betfair, і що ми не можемо гарантувати.
Два способи входу — один із них взагалі не бачить вашого пароля
BetOnDroid пропонує два варіанти входу до вашого акаунту Betfaur, вони представлені у вигляді вкладок на екрані логіну:
1. via BetOnDroid (за замовчуванням). Користувач вводить логін та пароль Betfair безпосередньо у застосунок. Якщо вибрано “Remember me”, облікові дані зберігаються локально на пристрої, зашифровані за алгоритмом AES-128 (мінімальна вимога сертифікації Betfair). Це режим входу, який залишається за замовчуванням, тому що працює швидше – не потрібно завантажувати Web компоненти, не виконується JavaScript, немає додаткових запитів до серверу.
2. via Betfair Web. На цій вкладці немає полів для введення облікових даних взагалі. Коли користувач натискає “Логін”, BetOnDroid відкриває вбудований WebView, який показує офіційну сторінку входу Betfair (identitysso.betfair.com). Користувач вводить свої дані сторінці Betfair – тій самій, яку б побачив на веб-сайті betfair.com. Після успішної аутентифікації Betfair повертає у застосунок лише новостворений, так званий, токен сесіх. Застосунок ніколи не бачить логін чи пароль — навіть тимчасово, навіть у зашифрованому вигляді.
Другий варіант підходить користувачам, які хочуть максимальної ізоляції між застосунком і своїми обліковими даними Betfair. Якщо в акаунті Betfair увімкнена 2FA, вона повністю обробляється на сторінці входу Betfair – додаток BetOnDroid не залучений у цей процес жодним чином.
Такий двоканальний дизайн логіну до біржи Betfair – свідомий архітектурний вибір: користувачі, для яких важлива швидкість, можуть скористатися прямим входом, а ті, кому важлива ізоляція — веб версією. Обидва варіанти пройшли сертифікацію Betfair.
Перевірка безпеки від Betfair
Перш ніж будь-який сторонній застосунок зможе взаємодіяти з програмним доступом до біржи Betfair, він має пройти сертифікацію від Betfair. Це не форма самооцінки – команда Betfair дійсно перевіряє застосунок за опублікованим чеклістом безпеки.
Кілька вимог, які найбільше важать для користувачів:
- Додаток ніколи не повинен бачити логін чи пароль користувача при використанні веб-потоку входу. Аутентифікація має проходити безпосередньо між смартфоном Андроїд і серверами Betfair.
- Між застосунком і сервером Betfair не повинно бути проксі. Усі комунікації проходять напряму до API Betfair через захищений HTTPS-канал. Застосунки, які пропускають трафік через проміжне ПЗ, не допускаються до сертифікації.
- Збережені облікові дані, якщо такі є, мають бути зашифровані за алгоритмом AES (мінімум 128 біт ключ). Локальне зберігання зашифрованого логіну вимагає явного підтвердження від користувача – за замовчуванням стоїть “не зберігати”.
- Застосунок має бути обфусцовано, щоб ніякі дані не можна було витягти й використати неналежним чином.
- Функція виходу обов’язкова, щоб користувач міг чисто завершити свою сесію.
Саме така увага до деталей застосунку робить сертифікацію реально цінною.
Перевірка не є разовою. Betfair проводить повторну верифікацію додатку перед кожним великим оновленням — наприклад, при зміні логіки аутентифікації, при переході на нову версію API або при зміні інтеграції з Vendor API. Це безперервний нагляд, а не одноразове підтвердження.
Зареєстрований в офіційному каталозі застосунків Betfair
Проходження сертифікації — це одна частина процесу. Перебування у офіційному каталозі застосунків Betfair — це публічне підтвердження того, що застосунок є актуальним, сертифікованим та рекомендованим біржою ставок Betfair.
Якщо застосунку немає в цьому каталозі, не існує формального способу перевірити його статус сертифікації. Це найшвидша перевірка перед встановленням будь-якого Android-застосунку, який підключається до Betfair: пошукайте у каталозі застосунків. Якщо його там немає – вважайте такий застосунок ненадійним.
Чисте антивірусне сканування
Перевірка від Betfair охоплює поведінку застосунку при роботі з публічним API для програмного доступу до біржі Betfair. За задумом вона не сканує сам APK-файл на наявність шкідливих сигнатур. Для цього потрібен незалежний інструмент.
Ми прогнали поточний реліз BetOnDroid 4.1.8 через вірус сканерVirusTotal, який перевіряє файли проти 67 різних антивірусних рушіїв одночасно. Результат: 0 із 67 перевірок позначили файл як шкідливий.
Це той самий тип сканування, який Google Play Protect виконує у фоновому режимі при встановленні APK на Android. Чистий результат означає, що жоден із основних антивірусних постачальників — McAffee, ESET, Bitdefender, Microsoft та інші – не виявив у бінарному файлі шкідливих патернів коду.
Як щодо персональних даних?
Коротко: BetOnDroid не збирає персональні ідентифікаційні дані. Облікові дані Betfair ніколи не покидають пристрій. Аутентифікація і торгівля відбуваються безпосередньо між телефоном користувача та серверами Betfair.
Застосунок використовує Google Firebase для звітів про збої та анонімних метрик продуктивності — це стандартна практика для розробки під Android, яка допомагає швидше виправляти баги. Повний опис є за посиланням Політиці конфіденційності.
Чого ми не обіцяємо
Жоден застосунок — наш чи будь-чий інший — не може стверджувати, що він “100% безпечний”. Що ми можемо запропонувати — це список фактів, які можна перевірити:
- BetOnDroid пропонує веб вхід до біржі Betfair, в якому застосунок ніколи не бачить облікових даних у будь-якому вигляді.
- Застосунок проходить сертифікацію Betfair, яка повторно перевіряється при кожному великому релізі.
- Він зареєстрований в офіційному каталозі застосунків Betfair.
- Поточна збірка отримала 0 виявлень із 67 на VirusTotal.
- Облікові дані та торгові операції проходять безпосередньо між пристроєм користувача і Betfair, без посередників.
Це вищий поріг, ніж у більшості сторонніх Android-інструментів для трейдингу, і значно вищий, ніж у будь-якого APK, що поширюється через неофіційні дзеркала.
Спробуйте
Якщо питання безпеки для вас закрите, наступне питання – чи робить застосунок те, що вам потрібно. Найшвидший спосіб дізнатися – встановити його та спробувати на кількох ринках.
Спробувати BetOnDroid – напряму з цього сайту, сертифікована збірка, без потреби у Google Play.
