Sikring af dine applikationer på den rigtige måde - Googles vejledning

Applikationssikkerhed, piratkopiering og forebyggelse er alle hotte emner for nylig med god grund. Uden en robust applikationsmarked, der hundreder af tusinder af nye aktiveringer hver måned antallet kan ikke vedligeholdes, og et robust marked er ikke muligt uden opbakning fra udviklere. Vi har set det Android har en indbygget løsning til at forhindre piratkopiering, og vi har også set hvor let det er at omgå det, hvis du er bestemt, og hvis ordningen efterlades i sin grundlæggende form. Google antydede, at de havde nogle flere oplysninger at dele om hele emnetog tro mod deres ord har de gjort det. Efter pausen, lad os se på en Googlers metoder til at give en sikker, sikker og brugervenlig måde at beskytte applikationer på. [Android-udviklerblog]

Android Market Licensing Service og Licensverifikationsbiblioteket er effektive værktøjer for udviklere til at forsøge at omgå applikationspirateri. Problemet er, som det blev for nylig nedlagt, at det uden for boksen ikke er meget svært at omgå. Da folk er mennesker, og mange vil bruge mere tid, end det er værd at knække en applikation på 99 cent fra markedet, Trevor Johns (en af ​​Android's Dev. Program Engineers) har lagt et praktisk sæt tip til at styrke de leverede værktøjer og få anti-piratkopiering til at fungere bedre.

De fire nøgleområder er:

Kode tildækning

Kodeforebyggelse er et trick, der bruges af udviklere, der ændrer kildekoden, hvilket gør kendte funktioner, pakker, klasser og variabler meget svære at spore ved at give et alias til hver. Tag for eksempel denne imaginære funktion - onRedraw (). Hvert sted du bruger funktionen i kildekoden, den er lige der, let at læse og muligvis udnytte. En kode-obfuscator vil erstatte den menneskelige læsbare funktion med et genereret alias - wy23 () er et godt eksempel. Et hurtigt blik (eller et automatiseret værktøj) på udkig efter funktioner fungerer ikke, da det kræver seriøs grave at se nøjagtigt hvad wy23 () virkelig betyder. Der er kommerciel Java-kode obfyousk8tors (ha!) Tilgængelig, og Trevor anbefaler ProGuardog planlægger en fremtidig artikel på Android Developers Blog om at arbejde med ProGuard.

Ændring af licensbiblioteket

Google anbefaler, at udviklere ændrer kilden til de leverede licensbiblioteker så meget som muligt, mens de stadig bevarer den oprindelige funktion. Dette er et tilfælde, hvor den sti, der er taget, er uvigtig, så længe destinationen er nået. Udviklere kan begrave funktion i if / then-udsagn, sløjfer, endda mve hele biblioteket i deres egen kodeblok.

For at gå et skridt videre opfordres udviklere til at bruge hash-kontrol og andre krypteringsmetoder til at generere nye og ændre koden for at se efter de nye konstanter i stedet for at bruge dem, der leveres af Google i eksempel kode. Sørg for at trykke på kilde-linket for at se et godt eksempel lige fra Google, der viser, hvordan dette kan gøres. Og don; glem ikke at tilsløre koden her heller!

Gør din applikation manipulationsbestandig

Denne er enkel. For en hacker tyv for at fjerne licens fra din ansøgning, skal han eller hun reverse engineer og genopbygge applikationen. Brug CRC-kontrol for at forhindre dette. Google har også et andet praktisk værktøj til dette område - bekræft, at Android Market var installationskilden til din applikation, og hvis ikke, don; lad det ikke køre. Igen er der et smukt eksempel på dette ved kildekoblingen.

Flyt licensbekræftelsen til en ekstern server

Hvis din applikation bruger online-komponenter, anbefaler Google, at du flytter LVL-oplysningerne og -svaret ud af appen og videre til din server. Når brugeren bruger appen, tjekker din server med Google, og hvis alt ikke er kosher, serveres der ikke noget indhold. Selvom det er simpelt, er det også meget effektivt at omgå dette, men nogen skal ikke kun ændre applikationen, men også indhold på din server. Husk, lokale data er aldrig sikre, men en korrekt vedligeholdt og sikret server er en ret hård møtrik at knække.

Endelig husker Google os - slutbrugerne og anbefaler, at disse tricks bruges på en måde, der er gennemsigtig og brugervenlig. Hvis du er en applikationsudvikler, der er interesseret i integrationen og piratkopiering af din app (og det burde du være!), Skal du sørge for at tjekke kildelinket. Det bliver alt nørdet og uklart og lægger det hele for dig. For resten af ​​os er dette mere en påmindelse om, hvordan Goggle elsker det, og vi kan føle os godt vel vidende at store G gør hvad den kan for at hjælpe.