Giữ bí mật phím SECRET - trong ứng dụng Android .. bất kỳ ý tưởng

Question

Tôi có một mã hóa và giải mã thông thường mã hóa trong một trong các ứng dụng Android của tôi. Điều này về cơ bản là giải mã một chuỗi được tìm nạp thông qua. cuộc gọi từ xa. Đương nhiên "khóa bí mật" được lưu trữ trong mã, nhưng bất kỳ ai có apktool rõ ràng có thể thấy mã và xem khóa bí mật của tôi.

Có cách nào để mã hóa tất cả mã Java sao cho ngay cả khi không biên dịch nó sẽ không đọc được/dễ hiểu?

Tôi đã nghe nói về ProGuard, nhưng khi đọc về nó, dường như không đủ cho mục đích này.

Answer 1

Bạn không bao giờ nên đặt khóa bí mật bên trong mã. Biên dịch mã có thể dễ dàng đảo ngược thiết kế và bất cứ ai với một trình gỡ lỗi có thể móc đến điểm mà khóa thực tế được tạo ra. Bảo mật luôn dựa vào thuật toán, giả định rằng mã máy khách là công khai và kẻ tấn công tiềm năng có một bản sao.

Ẩn các chữ trong mã chỉ trì hoãn kẻ tấn công trong quá trình lấy khóa, nhưng nó không ngăn cản nó theo bất kỳ cách nào.

Answer 2

Tôi không phải là chuyên gia bảo mật, nhưng tôi biết rằng ngôn ngữ biên dịch VM có thể dễ dàng dịch ngược bạn có thể cố gắng làm xáo trộn mã của bạn bằng ProGuard nhưng vẫn có thể đọc được, tôi khuyên bạn nên cố gắng lưu và mã hóa bằng cách sử dụng Java Crypto, loại câu hỏi này đã được hỏi trước khi tương tự như Android Crypting Database hoặc Encrypt Information in Android, tôi không mong đợi để trả lời câu hỏi của bạn nhưng cung cấp cho bạn một dòng hướng dẫn nơi để đi từ bây giờ.

Answer 3

bạn thay vì có thể tạo ra một chìa khóa mới mỗi khi bạn cần lấy chuỗi

sau đó bạn sẽ cần phải làm một cuộc trao đổi quan trọng với một giấy chứng nhận mã hóa cứng (đó là an toàn nếu được thực hiện đúng cách)

hoặc chỉ sử dụng SSL nếu nó chỉ an toàn khi đang chuyển tuyến

Answer 4

Có thể đọc tất cả mã trên máy khách. Điều tốt nhất bạn có thể làm là làm cho việc tìm chìa khóa trở nên khó khăn hơn.

Đề xuất: sẽ có một số chuỗi văn bản trong mã của bạn, như "Vui lòng chờ trong khi yêu cầu của bạn đang xử lý ..." Tìm một thư như vậy và tạo mảng byte để thay đổi thư đó thành khóa thực của bạn bằng XORing mảng byte với chuỗi văn bản.

ví dụ: "sóc" XOR [16 1D 10 19 1A 13 0B 18] => "voi"

Chỉ "sóc" và mảng byte thực sự xuất hiện trong mã của bạn.