Säkra dina applikationer på rätt sätt - Googles instruktioner

Applikationssäkerhet, piratkopiering och förebyggande är alla heta ämnen nyligen, med goda skäl. Utan en robust applikationsmarknad, hundratusentals nya aktiveringar varje månad antalet kommer inte att kunna underhållas, och en robust marknad är inte möjlig utan stöd från utvecklare. Vi har sett det Android har en inbyggd lösning för att förhindra piratkopiering, och vi har också sett hur lätt det är att komma runt det om du är bestämd, och om systemet lämnas i sin grundform. Google antydde att de hade lite mer information att dela om hela ämnetoch troget mot deras ord har de gjort det. Efter pausen, låt oss ta en titt på Googlers metoder för att tillhandahålla ett säkert, säkert och användarvänligt sätt att skydda applikationer. [Android-utvecklarblogg]

Android Market Licensing Service och License Verification Library är kraftfulla verktyg för utvecklare att försöka kringgå piratkopiering av applikationer. Problemet, som nyligen dämpades, är att det ur lådan inte är särskilt svårt att kringgå. Eftersom människor är människor, och många kommer att spendera mer tid än det är värt att knäcka en 99-cent applikation från marknaden, Trevor Johns (en av Android Dev. Programingenjörer) har lagt fram en praktisk uppsättning tips för att stärka de levererade verktygen och få åtgärder mot piratkopiering att fungera bättre.

De fyra nyckelområdena är:

Kodförstöring

Kodförvirring är ett trick som används av utvecklare som ändrar källkoden, vilket gör kända funktioner, paket, klasser och variabler mycket svåra att spåra genom att tillhandahålla ett alias till var och en. Ta den här imaginära funktionen till exempel - onRedraw (). Varje plats du använder funktionen i källkoden är den precis där, lätt att läsa och eventuellt utnyttja. En kodobfuscator kommer att ersätta den mänskliga läsbara funktionen med ett genererat alias - wy23 () är ett bra exempel. En snabb blick (eller ett automatiserat verktyg) som letar efter funktioner fungerar inte, eftersom det krävs allvarlig grävning för att se exakt vad wy23 () verkligen betyder. Det finns kommersiell Java-kod obfyousk8tors (ha!) Tillgänglig, och Trevor rekommenderar ProGuard, och planerar en framtida artikel på Android Developers Blog om att arbeta med ProGuard.

Ändra licensbiblioteket

Google rekommenderar att utvecklare ändrar källan till de medföljande licensbiblioteken så mycket som möjligt medan de fortfarande behåller den ursprungliga funktionen. Detta är ett fall där vägen som tas är obetydlig så länge destinationen uppnås. Utvecklare kan begrava funktionen i if / then-uttalanden, loopar, till och med mve hela biblioteket i sitt eget kodblock.

För att gå ett steg längre uppmuntras utvecklare att använda haschkontroller och andra krypteringsmetoder för att generera nya och ändra koden för att leta efter de nya konstanterna istället för att använda de som tillhandahålls av Google i exempelkod. Se till att klicka på källkodslänken för att se ett bra exempel direkt från Google som visar hur detta kan göras. Och don; glöm inte att dölja koden här heller!

Gör din applikation manipuleringsbeständig

Den här är enkel. För en hacker tjuv för att ta bort licensiering från din ansökan, måste han eller hon omvandla och bygga om applikationen. Använd CRC-kontroller för att förhindra detta. Google har ett annat praktiskt verktyg för detta område också - kontrollera att Android Market var installationskällan för din applikation, och om inte, don; låt det inte springa. Återigen finns det ett snyggt exempel på detta vid källlänken.

Flytta licensverifieringen till en fjärrserver

Om din applikation använder onlinekomponenter rekommenderar Google att du flyttar LVL-informationen och svaret från appen och vidare till din server. När användaren använder appen kontrollerar din server med Google, och om allt inte är kosher visas inget innehåll. Även om det är enkelt, är det också mycket effektivt för att komma runt detta, någon skulle behöva ändra inte bara applikationen utan också innehåll på din server. Kom ihåg att lokala data är aldrig säkra, men en korrekt underhållen och säker server är en ganska tuff nöt att knäcka.

Slutligen kommer Google ihåg oss - slutanvändarna och rekommenderar att dessa tricks används på ett sätt som är transparent och användarvänligt. Om du är en applikationsutvecklare som är intresserad av integriteten och piratkopiering av din app (och det borde du vara!), Se till att kolla in källlänken. Det blir allt nördigt och suddigt och lägger allt för dig. För resten av oss är detta mer en påminnelse om hur Goggle älskar sina devs, och vi kan må bra att veta att stora G gör vad den kan för att hjälpa.