Sprawdź, czy żądanie http pochodzi z mojej aplikacji na Androida

Question

Pobieram dane z zewnętrznego serwera do użytku z moją aplikacją na Androida. Chciałbym, aby te dane były dostępne tylko dzięki mojej aplikacji. Używam standardowego połączenia HTTP do pobierania danych z serwera apache/php w formacie json. Wysyłam także kilka parametrów do serwera, aby pobrać odpowiednie dane. Teraz, co mam zamiar zrobić, to:

1. Wyślij params
2. wysłać coś podobnego md5 ("someSecretPhrase" + params).
3. Sprawdź, czy tajne wyrażenie jest poprawne po stronie serwera.

Teraz pytanie brzmi - czy jest to bezpieczne podejście do inżynierii wstecznej? Na razie nie mogę wymyślić żadnej innej możliwości uzyskania tych danych. Ale jeśli ktoś jest w stanie zdekompilować mój apk, będzie mógł również odzyskać tę "someSecretPhrase" (raczej trudne do zrobienia po stronie serwera), a następnie uzyskać dostęp do serwera, prawda? Czy to prawdziwe zagrożenie? Czy jest jakaś inna możliwość uwierzytelnienia mojej aplikacji przez serwer?

Spojrzałem na forach, np. Identify whether HTTP requests from Android App or not? and then respond appropriately, ale nie wyjaśniają problemu dekompilacji.

Answer 1

Jedną z podstawowych zasad bezpieczeństwa: nie ufasz danym klienta. Zawsze.

Należy rozważyć aplikacja dekompilować, wszystkie „tajne” klucze znane atakujący itp

Można jednak utrudnić próby atakującego do wypracowania swoich żądań. Wysyłanie (i weryfikacja) sumy kontrolnej twojego żądania jest jedną z metod (twój pomysł na MD5(secret_key + params)).

Można również przełączyć na binarny protokół szyfrowany. Ale wymaga to DUŻO więcej pracy i całkiem innej architektury serwera.

Answer 2

Niestety, jeśli ktoś dekompiluje twój apk, wtedy może łatwo zobaczyć twoje struny.

EDIT: Nie sądzę, istnieje lepszy sposób to zrobić .. może tylko opublikować swoją aplikację na Android Market z android Ochrony kopiowania włączone ...

Answer 3

Twoja aplikacja wykonuje uzgadnianie z serwerem, więc algorytm to nie tylko ciąg znaków, ale cały proces. Zastosowanie Sesje/baz danych do śledzenia handshake

Answer 4

Można ukryć linki przez ustawić wszystkie linki URL i nazw Parametrów w strings.xml na przykład: http://wwww.yourdomain.com/yourpage.any nazwa_użytkownika i dostać url takich adresem:

String serverUrl = Resources.getsystem().getstring(R.strings.name_your_link_id); String parameterKey = Resources.getsystem().getstring(R.strings.name_your_parameter_id); Uri url = Uri.parse(serverUrl+"?"+parameterKey+"=" + yorusername);

i wykonaj dowolne żądanie http: HttpURLConnection con = (HttpURLConnection) url.openConnection();

gdy ktoś próbować dekompilować aplikacji pokaże jedynym identyfikatorem tak długo całkowitą w pliku R.java uzyskać taki kod to String serverUrl = Resources.getsystem().getstring(12346546564); String parameterKey = Resources.getsystem().getstring(123321321132);

Answer 5

Android wymaga, że ​​należy sign swoją aplikację (organ zalogowaniem lub własnym znakiem) zanim będzie można go zainstalować. Możemy to wykorzystać, aby sprawdzić, czy żądania pochodzą z Twojej aplikacji, czy nie.

1. Podpisz swoją aplikację za pomocą swojego certyfikatu.
2. Find podpis certyfikatu i zapisz go na serwerze zaplecza.
3. Dla każdego wniosku należy oczekiwać, że ten podpis zostanie wysłany przez aplikację.
4. sprawdź podpis wysłany przez aplikację na poziomie serwera i akceptuj tylko wtedy, gdy są zgodne.

Nawet w takim przypadku, gdy ktoś narusza twoją aplikację, musi ją podpisać ponownie, zanim będzie można ją zainstalować, co zmieniłoby podpis aplikacji, a nasz mechanizm walidacji odrzuciłby wszystkie takie żądania.

Ta odpowiedź jest oparta na blogu this. Użyj https dla aplikacji < -> komunikacja z serwerem.