Facturación de Android: en el archivo Security.java, ¿la base64EncodedPublicKey debe ser el valor codificado?

Question

¿Debo pegar la clave pública real de mi aplicación directamente en el valor de esta variable?

¿O debería codificarlo y luego cualquiera que sea la cadena codificada, la convertiría en el valor de esta variable?

¿Cuál debería ser?

Answer 1

La clave pública presente en su Consola de desarrollador de Android (que se puede encontrar en 'Editar perfil') ya está codificada en Base64. Solo copie y pegue el contenido de la clave en su archivo fuente. Por ejemplo, si tiene algo como esto:

Luego, en su Security.java:

String base64EncodedPublicKey = "MIIBIjANBgkqhkiG9w0BAQ......"; 

Answer 2

Usted necesita la clave pública en el código fuente del programa para que pueda comprobar la firma. Sí, existe un riesgo no nulo e inevitable de que un cracker lo encuentre, lo sustituya por un falso y alimente las compras falsas de su programa.

No puede ocultar completamente la llave de las miradas indiscretas, pero puede ofuscarse. Puede dividir la cadena Base64 en varias constantes de cadena en diferentes puntos y concatenarlos antes de su uso. Mejor dar a los trozos nombres poco llamativos (no como MY_PUBLIC_KEY_PART_4). También puede aplicarle una capa adicional de cifrado suave, algo así como XOR un valor. Puede agregar una verificación de integridad: asegúrese de que la clave no se haya falsificado (por ejemplo, guarde el hash de una clave en otro lugar y verifique). Pero todo esto sigue siendo seguridad a través de la oscuridad: un pirata informático suficientemente determinado lo logrará.

Considere también ProGuard, la herramienta de ofuscación de códigos incorporada.

Answer 3

Si tiene un componente de servidor como parte de su aplicación, puede mover la mayoría de los elementos de su seguridad, incluida su clave pública, a su servidor. En el servidor, puede generar el nonce y verificar la compra (he trasladado el mío a un servicio WCF de RESTFul). Si su componente de servidor está basado en .NET, entonces probablemente tendrá que generar un módulo y un exponente de su clave pública para que pueda usar la clase RNGCryptoServiceProvider. Hay un video de Google I/O que ofrece una descripción general to In-App Billing, entre otros.

Answer 4

Como dice el código de ejemplo de Google para la facturación desde la aplicación, debe ocultar esta clave pública.

En lugar de simplemente almacenar toda la cadena literal aquí incrustado en el programa , construir la clave en tiempo de ejecución a partir de piezas o la manipulación uso de bits (por ejemplo, XOR con alguna otra cadena) para ocultar la clave real. La clave en sí no es información secreta, pero no queremos hacer que sea fácil para un atacante reemplazar la clave pública con un propio y luego falsificar mensajes del servidor.

Utilizo un código Java muy simple para generar la clase Java que me devolverá la clave pública. La idea básica es usar la recursión para recrear la clave utilizando una clase estática interna. Es solo comida para pensar.

Es un enfoque "lo suficientemente bueno" para mi nicho de mercado.Consulte this stackexchange security question para obtener más información sobre ofuscación.

public static void main(String[] args) throws Exception { 
    String className = genClassName(); 
    PrintWriter writer = new PrintWriter("C:\\" + className + ".java", "iso-8859-1"); 
    printClass(className, writer, "XXXXXX-YOUR-PUBLIC-KEY-GOES-HERE-XXXXXXX", true); 
    writer.close(); 
} 

private static String genClassName() { 
    return "Class" + UUID.randomUUID().toString().replaceAll("-", ""); 
} 

private static String printClass(String thisClass, PrintWriter writer, String key, boolean root) { 
    int split = key.length()/2; 
    if (split < 10) { 
     writer.println("public " + (root ? "" : "static") + " class " + thisClass + " {"); 
     writer.println("public static String get() {"); 
     writer.println("return \"" + key + "\";"); 
     writer.println("}"); 
     writer.println("}"); 
    } else { 
     String first = key.substring(0, split); 
     String last = key.substring(split, key.length()); 
     writer.println("public " + (root ? "" : "static") + " class " + thisClass + " {"); 
     String class1 = printClass(genClassName(), writer, first, false); 
     String class2 = printClass(genClassName(), writer, last, false); 
     writer.println("public static String get() {"); 
     writer.println("return " + class1 + ".get() + " + class2 + ".get();"); 
     writer.println("}"); 
     writer.println("}"); 
    } 

    return thisClass; 
}