Compruebe si la solicitud http proviene de mi aplicación de Android

Question

Recupero datos de un servidor externo para utilizarlos con mi aplicación de Android. Me gustaría que esta información solo fuera accesible con mi aplicación. Uso una conexión http estándar para obtener los datos del servidor apache/php en formato json. También envío algunos parámetros al servidor para recuperar datos relevantes. Ahora, lo que planeo hacer es:

1. Enviar los parametros
2. enviar algo como MD5 ("someSecretPhrase" + parametros).
3. Compruebe si la frase secreta es correcta en el lado del servidor.

Ahora, la pregunta es: ¿es un enfoque seguro con respecto a la ingeniería inversa? Por ahora no puedo pensar en otra posibilidad para obtener estos datos. Pero si alguien puede descompilar mi apk, también podrá recuperar esta "someSecretPhrase" (algo difícil de hacer en el lado del servidor) y luego acceder al servidor, ¿no? ¿Es una amenaza real? ¿Hay alguna otra posibilidad de autenticar mi aplicación por parte del servidor?

Miré los foros, por ejemplo. Identify whether HTTP requests from Android App or not? and then respond appropriately, pero no explican el problema de descompilación.

Answer 1

Una de las reglas básicas de seguridad es: no confías en los datos del cliente. Nunca.

Debe tener en cuenta su aplicación decompiled, todas las teclas "secretos" conocidos por atacante, etc.

Es posible, sin embargo, los intentos de obstaculizar atacante para forjar sus peticiones. Enviar (y verificar) la suma de comprobación de su solicitud es uno de los métodos (su idea es MD5(secret_key + params)).

También podría cambiar a un protocolo binario cifrado. Pero esto requiere MUCHO más trabajo y una arquitectura de servidor bastante diferente.

Answer 2

Desafortunadamente, si alguien descompila tu apk, entonces puede ver fácilmente tus cadenas.

EDIT: no creo que hay una mejor manera de hacer esto .. tal vez sólo para publicar la aplicación en el mercado androide con el androide de protección de copia activada ...

Answer 3

Haga que su aplicación realice un apretón de manos con el servidor, por lo que el algoritmo no es solo una cadena, sino un proceso completo. Uso Sesiones/bases de datos para realizar un seguimiento de su apretón de manos

Answer 4

Puede ocultar sus enlaces establecidos por todos los enlaces URL y nombres Paramete en strings.xml por ejemplo: http://wwww.yourdomain.com/yourpage.any user_name y obtener enlace en:

String serverUrl = Resources.getsystem().getstring(R.strings.name_your_link_id); String parameterKey = Resources.getsystem().getstring(R.strings.name_your_parameter_id); Uri url = Uri.parse(serverUrl+"?"+parameterKey+"=" + yorusername);

y realizar cualquier solicitud HTTP HttpURLConnection con = (HttpURLConnection) url.openConnection();

cuando cualquiera intente descompilada su aplicación se mostrará solamente Identificación como entero largo en el archivo R.java obtener el código como este String serverUrl = Resources.getsystem().getstring(12346546564); String parameterKey = Resources.getsystem().getstring(123321321132);

Answer 5

Android requiere que uno debe sign su aplicación (la firma de la autoridad o auto firmado) antes de que pueda ser instalado. Podemos utilizar esto para verificar si las solicitudes provienen de su aplicación o no.

1. Registre su aplicación con su certificado.
2. Find firma de los certificados y guárdelo en su servidor back-end.
3. Para cada solicitud, esperamos que esta firma sea enviada por la aplicación.
4. validar la firma enviada por la aplicación a nivel de servidor y aceptar solo si coinciden.

Incluso en el caso en que alguien altere su aplicación, tiene que volver a firmar antes de instalarla, lo que cambiaría la firma de la aplicación y nuestro mecanismo de validación rechazaría simplemente todas las solicitudes.

Esta respuesta se basa en el blog this. Use https para la aplicación < -> comunicación del servidor.