Nhận mã kiểm tra mã nguồn trong thư viện Android

Question

Tôi đang phát triển thư viện Android và tôi muốn áp dụng cơ chế dò tìm giả mạo cho mã của mình, vì nó gọi một số dịch vụ web tài chính nhạy cảm.

Những gì tôi sẽ thực hiện là tính tổng kiểm tra apk (hoặc các phần quan trọng của nó), theo chương trình trên thời gian chạy, vì vậy tôi có thể ngăn chặn một gói phần mềm được đóng gói lại hoặc biên dịch lại. Phòng ngừa).

Những gì tôi đã đưa ra cho đến nay, là tính tổng kiểm tra của applicationInfo.publicSourceDir. nhưng tôi không chắc chắn điều gì sẽ xảy ra với các ứng dụng có nhiều tệp dex hoặc nhiều tệp splitApks.

Cách đáng tin cậy nhất để tính tổng kiểm tra dựa trên mã cơ sở của ứng dụng trong Android, theo lập trình là gì?

Answer 1

Phương pháp kiểm tra có thể được áp dụng cho tệp đơn hoặc tệp zip. Nó sẽ là một quá trình dài để kiểm tra tổng kiểm tra tất cả các tệp. Tôi nghĩ bạn đang đi sai hướng.

Thứ nhất, không có giải pháp rõ ràng cho vấn đề này. Bất kỳ ứng dụng nào cũng có thể bị tấn công - bạn chỉ có thể làm cho nó khó hack.

Đây là những gì được thực hiện để làm cho nó cứng -

1. Mã hóa các gói ứng dụng của bạn - vì vậy mà cứng của nó để có được mã nguồn của bạn. tham khảo - APK to protect apk from reverse engineering - Kiểm tra làm xáo trộn các công cụ .

2. Sử dụng mã hóa dữ liệu trong khi gửi/nhận dữ liệu từ WebService. Bạn có thể sử dụng HMAC để bảo vệ dữ liệu. Đảm bảo máy chủ của bạn đủ thông minh để chặn người dùng/yêu cầu ứng dụng trong trường hợp có nhiều cuộc gọi xấu. HMAC dễ thực hiện và có các thư viện để tạo các khóa HMAC.

Answer 2

Nếu bạn phân phối qua chơi bạn có thể có một cái nhìn vào SafetyNET: https://developer.android.com/training/safetynet/index.html

Answer 3

Lấy chữ ký ứng dụng được gắn liền với giấy chứng nhận sử dụng để đăng APK

public static String getAppSignature(Context context) { 
    try { 
     for (Signature signature : context.getPackageManager().getPackageInfo(context.getPackageName(), 
       PackageManager.GET_SIGNATURES).signatures) { 
      MessageDigest md = MessageDigest.getInstance("SHA"); 
      md.update(signature.toByteArray()); 
      return Base64.encodeToString(md.digest(), Base64.DEFAULT); 
     } 
    } catch (Exception e) { /* Do nothing */ } 
    return null; 
} 

Điều này có thể so với giá trị được lưu trữ để kiểm tra xem chứng chỉ ký có phải là bản gốc hay không.