Zabezpieczanie aplikacji we właściwy sposób - instrukcje Google

Bezpieczeństwo aplikacji, piractwo i zapobieganie to ostatnio gorące tematy, nie bez powodu. Bez solidnego rynku aplikacji setki tysięcy nowych aktywacji każdego miesiąca liczba nie będzie możliwa do utrzymania, a solidny rynek nie jest możliwy bez wsparcia deweloperzy. Widzieliśmy to Android ma wbudowane rozwiązanie zapobiegające piractwu, i też widzieliśmy jak łatwo to obejść, jeśli jesteś zdeterminowanyi jeśli schemat pozostanie w podstawowej formie. Google zasugerował, że oni miał trochę więcej informacji na cały temati zgodnie z ich słowami, uczynili to. Po przerwie przyjrzyjmy się metodom pracowników Google, aby zapewnić bezpieczny i przyjazny dla użytkownika sposób ochrony aplikacji. [Blog dla programistów Androida]

Usługa licencjonowania w Android Market i biblioteka weryfikacji licencji to potężne narzędzia dla programistów, które mogą próbować obejść piractwo aplikacji. Problem, jak pokazano niedawno, polega na tym, że po wyjęciu z pudełka nie jest trudno go obejść. Ponieważ ludzie to ludzie, a wielu spędzi więcej czasu niż warto złamać 99-centową aplikację z Market, Trevor Johns (jeden z Android's Dev. Program Engineers) przedstawił przydatny zestaw wskazówek, jak wzmocnić dostarczone narzędzia i poprawić działanie środków antypirackich.

Cztery kluczowe obszary to:

Maskowanie kodu

Maskowanie kodu jest sztuczką używaną przez programistów, która zmienia kod źródłowy, sprawiając, że znane funkcje, pakiety, klasy i zmienne są bardzo trudne do wyśledzenia poprzez podanie im aliasów. Weźmy na przykład tę urojoną funkcję - onRedraw (). W każdym miejscu, w którym używasz funkcji w kodzie źródłowym, jest ona właśnie tam, łatwa do odczytania i ewentualnie wykorzystania. Obfuskator kodu zastąpi czytelną dla człowieka funkcję wygenerowanym aliasem - wy23 () jest dobrym przykładem. Szybki rzut oka (lub zautomatyzowane narzędzie) szukające funkcji nie zadziała, ponieważ potrzeba poważnego kopania, aby zobaczyć dokładnie, co wy23 () naprawdę znaczy. Dostępny jest komercyjny kod Java, obfyousk8tors (ha!) I Trevor zaleca ProGuardi planuje w przyszłości artykuł na blogu programistów Androida o pracy z ProGuard.

Modyfikowanie biblioteki licencji

Google zaleca, aby programiści zmienili źródło dostarczonych bibliotek licencji tak bardzo, jak to możliwe, zachowując oryginalną funkcję. Jest to jeden przypadek, w którym obrana ścieżka nie ma znaczenia, o ile osiągnięto cel. Programiści mogą zakopać funkcję w instrukcjach if / then, pętlach, a nawet umieścić całą bibliotekę we własnym bloku kodu.

Aby pójść o krok dalej, deweloperzy są zachęcani do używania sprawdzania skrótu i ​​innych metod szyfrowania w celu generowania nowych stałe i zmień kod tak, aby szukał nowych stałych, zamiast korzystać z tych dostarczonych przez Google w przykładowy kod. Pamiętaj, aby kliknąć link źródłowy, aby zobaczyć świetny przykład bezpośrednio z Google, pokazujący, jak można to zrobić. I don; Nie zapomnij też zaciemnić kodu tutaj!

Spraw, aby Twoja aplikacja była odporna na manipulacje

Ten jest prosty. Dla haker złodziej, aby usunąć licencję z aplikacji, musi przeprowadzić inżynierię wsteczną i odbudować aplikację. Użyj kontroli CRC, aby temu zapobiec. Google ma również inne przydatne narzędzie do tego obszaru - sprawdź, czy Android Market był źródłem instalacji Twojej aplikacji, a jeśli nie, to don; pozwól mu działać. Ponownie, jest tego fajny przykład w linku źródłowym.

Przenieś weryfikację licencji na zdalny serwer

Jeśli Twoja aplikacja korzysta ze składników online, Google zaleca przeniesienie informacji LVL i odpowiedzi z aplikacji na serwer. Gdy użytkownik korzysta z aplikacji, Twój serwer sprawdza w Google, a jeśli wszystko nie jest koszerne, żadne treści nie są wyświetlane. Chociaż jest to proste, jest również bardzo skuteczne, aby obejść ten problem, ktoś musiałby zmienić nie tylko aplikację, ale także zawartość na serwerze. Pamiętaj, że lokalne dane nigdy nie są bezpieczne, ale odpowiednio utrzymany i zabezpieczony serwer to dość trudny orzech do zgryzienia.

Wreszcie Google pamięta nas - użytkowników końcowych i zaleca, aby te sztuczki były wykorzystywane w sposób przejrzysty i przyjazny dla użytkownika. Jeśli jesteś programistą aplikacji i interesuje Cię integralność i ochrona przed piractwem Twojej aplikacji (a powinieneś być!), Koniecznie sprawdź link źródłowy. Robi się dziwaczny i rozmyty i przedstawia to wszystko dla ciebie. Dla reszty z nas jest to raczej przypomnienie o tym, jak Goggle uwielbia swoich programistów i możemy czuć się dobrze, wiedząc, że duży G robi, co może, aby pomóc.