Why HTTPS Alone Is Not Enough for Sensitive Android Payloads

👉 TLS не тож самое, что и защита данных на уровне самого сообщения. Если до сетевого слоя вы уже плохо реализовали крипту, HTTPS не спасет
👉 Как надо: AES-GCM с fresh IV, AAD и проверкой целостности
👉 Как НЕ надо: ECB, захардкоженные ключи, слабый MAC и особенно Base64 вместо шифрования
👉 Еще есть мини-демо с ECDH: не production-ready, но хорошо показывает, как вообще выглядит договоренность о session key на практике

Вопрос не в том, “мы же зашифровали?”, а в том, какие именно security properties дает ваша схема и что именно сломается, если срезать углы

Android Good Reads