Uzyskaj sumę kontrolną kodów źródłowych w bibliotece Androida.

Question

Pracuję nad biblioteką androidów i chcę zastosować mechanizm wykrywania sabotażu do mojego kodu, ponieważ wywołuje on wrażliwe finansowe usługi sieciowe.

Co zamierzam zaimplementować, to programowe obliczenie sumy kontrolnej pliku APK (lub jego ważnych części) w środowisku wykonawczym, dzięki czemu mogę zapobiec ponownemu uszkodzeniu pakietu apokalibrowanego lub zrekompilowanego (majstrowanie zapobieganie).

Do tej pory wyliczyłem sumę kontrolną applicationInfo.publicSourceDir. ale nie jestem pewien, co dzieje się z aplikacjami, które mają wiele plików dex lub wiele splitApks.

Jaki jest najbardziej niezawodny sposób obliczania sumy kontrolnej na podstawie podstawy kodu aplikacji w systemie Android, programowo?

Answer 1

Podejście do sumy kontrolnej można zastosować do pojedynczych plików lub plików zip. Długi proces sprawdzania sumy kontrolnej wszystkich plików będzie długotrwały. Myślę, że jesteś w złym kierunku.

Po pierwsze: Nie ma jednoznacznego rozwiązania tego problemu. Każda aplikacja może zostać zhakowana - możesz po prostu utrudnić hakowanie.

To jest to, co zrobić, aby go ciężko -

1. zaszyfrować swoją apk - tak że trudno jest dostać się do kodu źródłowego. refer - APK to protect apk from reverse engineering - Sprawdź obfuskujące narzędzia .

2. Użyj szyfrowania danych podczas wysyłania/odbierania danych z WebService. Możesz użyć HMAC do ochrony danych. Upewnij się, że twój serwer jest wystarczająco inteligentny, by blokować aplikacje użytkownika/aplikacje, na wypadek gdyby było kilka złych połączeń. HMAC jest łatwy do wdrożenia i istnieją biblioteki do generowania kluczy HMAC.

Answer 2

Jeśli dystrybuować poprzez zabawy można zajrzeć do SafetyNet: https://developer.android.com/training/safetynet/index.html

Answer 3

Pobierz aplikację podpis, który jest związany z certyfikatem użyty do podpisania APK

public static String getAppSignature(Context context) { 
    try { 
     for (Signature signature : context.getPackageManager().getPackageInfo(context.getPackageName(), 
       PackageManager.GET_SIGNATURES).signatures) { 
      MessageDigest md = MessageDigest.getInstance("SHA"); 
      md.update(signature.toByteArray()); 
      return Base64.encodeToString(md.digest(), Base64.DEFAULT); 
     } 
    } catch (Exception e) { /* Do nothing */ } 
    return null; 
} 

ten może być w porównaniu z wartością przechowywaną, aby sprawdzić, czy certyfikat podpisu jest oryginalny, czy nie.