Android एप्लिकेशन में डेटा छिपाने के 6 तरीके

नमस्ते, प्रिय पाठक, मैं काफी समय से मोबाइल एप्लिकेशन का अध्ययन कर रहा हूं। अधिकांश एप्लिकेशन किसी तरह से अपनी "गुप्त" कार्यक्षमता को मुझसे छिपाने की कोशिश नहीं करते हैं। और मैं इस समय खुश हूं, क्योंकि मुझे किसी के मोटे कोड का अध्ययन नहीं करना है।

इस लेख में, मैं ओफिसकेशन के अपने दृष्टिकोण को साझा करना चाहूंगा, साथ ही एनडीके के साथ अनुप्रयोगों में व्यापारिक तर्क को छिपाने की एक दिलचस्प विधि के बारे में बात करूंगा, जो मुझे अपेक्षाकृत हाल ही में मिला। तो अगर आप एंड्रॉइड में obfuscated कोड के लाइव उदाहरणों में रुचि रखते हैं - मैं बिल्ली के लिए पूछता हूं।

इस लेख के ढांचे में बाधा के तहत, हम एंड्रॉइड एप्लिकेशन के निष्पादन योग्य कोड को एक ऐसे रूप में घटाते हैं जो विश्लेषण करना मुश्किल है। कोड विश्लेषण को कठिन बनाने के कई कारण हैं:

1. कोई भी व्यवसाय अपने "इनसाइड्स" में आस-पास नहीं होना चाहता है।
2. यहां तक ​​कि अगर आपके पास एक डमी एप्लिकेशन है, तो आप हमेशा दिलचस्प चीजें वहां पा सकते हैं ( इंस्टाग्राम के साथ एक उदाहरण)।

बहुत से डेवलपर्स प्रॉब्लम कॉन्फिगर को केवल फोर्क करके समस्या का समाधान करते हैं। यह डेटा की सुरक्षा का सबसे अच्छा तरीका नहीं है (यदि यह आपकी पहली बार इस बारे में सुनवाई है, तो विकी देखें)।

मैं इस मामले में एक मामला देना चाहता हूं, क्यों प्रोगार्ड के साथ कथित "संरक्षण" काम नहीं करता है। Google नमूने से कोई भी सरल उदाहरण लें।

ProGuard को इसके मानक मानक के साथ जोड़ने के बाद, हमें एक कोड विघटित हो जाता है:

"ओह्ह, कुछ भी स्पष्ट नहीं है," हम कहते हैं और शांत हो जाते हैं। लेकिन फ़ाइलों के बीच स्विच करने के कुछ मिनट बाद, हमें कोड के समान टुकड़े मिलते हैं:

इस उदाहरण में, एप्लिकेशन कोड कमज़ोर लगता है (डेटा लॉगिंग, वीडियो कैप्चर बनाना), इसलिए मूल कोड में उपयोग किए जाने वाले कुछ तरीकों को प्रोगार्ड कॉन्फ़िगरेशन के साथ प्रसंस्करण के बाद भी आसानी से समझा जा सकता है।

इसके अलावा, कोटलिन में डेटा कक्षाओं पर एक नज़र डालें। डिफ़ॉल्ट डेटा वर्ग "toString" विधि बनाता है, जिसमें उदाहरण चर के नाम और स्वयं वर्ग का नाम होता है।

स्रोत डेटा वर्ग:

यह एक रिवर्स के लिए एक टिडबिट में बदल सकता है:

(कोटलिन में स्ट्रोस्टिंग विधि की ऑटो-पीढ़ी)

यह पता चला है कि ProGuard परियोजना के सभी स्रोत कोड से बहुत दूर छिपता है।

अगर मैंने अभी भी आपको इस तरह से कोड को बचाने की अक्षमता के बारे में आश्वस्त नहीं किया है, तो आइए हमारी परियोजना में ".source" विशेषता को छोड़ने का प्रयास करें।

-keepattributes SourceFile 

यह लाइन कई ओपनसोर्स प्रोजेक्ट्स में है। यह आपको एप्लिकेशन के क्रैश होने पर StackTrace देखने की अनुमति देता है। हालाँकि, स्माली कोड से ".source" को खींचते हुए, हमें पूरी परियोजना के पदानुक्रम पूरे वर्ग के नाम के साथ मिलते हैं।

परिभाषा के अनुसार, आक्षेप "विभिन्न प्रकार के रिसेप्शन का प्रतिकार करने के लिए स्रोत कोड को एक अपठनीय रूप में लाना" है। हालांकि, ProGuard (जब एक मानक कॉन्फ़िगरेशन के साथ उपयोग किया जाता है) कोड को अपठनीय नहीं बनाता है - यह एक मिनीफ़ायर के रूप में काम करता है, नामों को संपीड़ित करता है और अतिरिक्त कक्षाओं को प्रोजेक्ट से बाहर निकालता है।

ProGuard का इस तरह का उपयोग एक आसान है, लेकिन अच्छे obfuscation के लिए पूरी तरह से उपयुक्त समाधान नहीं है। एक अच्छे डेवलपर को पुनर्विक्रेता (या हमलावर) को "चीनी पात्रों" से डराने की ज़रूरत होती है, जो कि दोषपूर्ण करना मुश्किल है।

यदि आप ProGuard के बारे में अधिक जानने में रुचि रखते हैं, तो मैं निम्नलिखित जानकारीपूर्ण लेख का प्रस्ताव करता हूं।

हम क्या छुपा रहे हैं

अब देखते हैं कि आमतौर पर अनुप्रयोगों में क्या छिपा होता है।

• एन्क्रिप्शन कुंजी:

• विशिष्ट अनुप्रयोग तर्क:

कुछ और अप्रत्याशित अक्सर कोड में छिपा हो सकता है (व्यक्तिगत अनुभव से अवलोकन), उदाहरण के लिए:

• प्रोजेक्ट डेवलपर नाम
• प्रोजेक्ट का पूरा रास्ता
• Oauth2 प्रोटोकॉल के लिए Client_secret
• पीडीएफ पुस्तक "एंड्रॉइड के लिए कैसे विकसित करें" (शायद हमेशा हाथ में रहने के लिए)

अब हम जानते हैं कि एंड्रॉइड एप्लिकेशन में क्या छिपाया जा सकता है और इस डेटा को छिपाने के तरीकों के लिए मुख्य चीज़ पर स्थानांतरित किया जा सकता है।

डेटा छिपाने के तरीके

विकल्प 1: कुछ भी छिपाएं नहीं, सब कुछ दृष्टि में छोड़ दें

इस मामले में, मैं आपको यह तस्वीर दिखाता हूं :)

"दशा को व्यावसायिक तर्क खोजने में मदद करें"

यह लागत प्रभावी और पूरी तरह से मुक्त समाधान के लिए उपयुक्त है:

• सरल अनुप्रयोग जो नेटवर्क के साथ बातचीत नहीं करते हैं और संवेदनशील उपयोगकर्ता जानकारी संग्रहीत नहीं करते हैं;
• अनुप्रयोग जो केवल सार्वजनिक API का उपयोग करते हैं।

विकल्प 2: सही सेटिंग्स के साथ प्रोगार्ड का उपयोग करें

यह निर्णय अभी भी जीवन का अधिकार है, क्योंकि, सबसे पहले, यह सरल और स्वतंत्र है। उपरोक्त नुकसान के बावजूद, इसका एक महत्वपूर्ण प्लस है: यदि प्रोगार्ड नियमों को सही ढंग से कॉन्फ़िगर किया गया है, तो आवेदन वास्तव में अस्पष्ट हो सकता है।

हालांकि, आपको यह समझने की आवश्यकता है कि प्रत्येक विधानसभा के बाद इस तरह के समाधान के लिए डेवलपर को विघटित करने और जांचने की आवश्यकता है कि क्या सब कुछ ठीक है। एपीके फ़ाइल का अध्ययन करने में कई मिनट बिताए जाने के बाद, डेवलपर (और उसकी कंपनी) अपने उत्पाद की सुरक्षा में अधिक विश्वास कर सकते हैं।

यह समाधान इसके लिए उपयुक्त है:

• खिलौना अनुप्रयोगों, ऑनलाइन स्टोर अनुप्रयोगों, आदि;
• अनुप्रयोग जो वास्तव में पतले ग्राहक हैं, और सभी डेटा सर्वर की तरफ से विशेष रूप से आते हैं;
• अनुप्रयोग जो उनके सभी बैनरों पर नहीं लिखते हैं "सुरक्षित एप्लीकेशन नंबर 1"।

विकल्प 3: ओपन सोर्स ओब्सेसुलेटर का उपयोग करें

दुर्भाग्य से, मैं मोबाइल एप्लिकेशन के लिए वास्तव में अच्छे मुफ्त पर्यवेक्षक नहीं जानता हूं। और नेटवर्क पर पाए जाने वाले ऑबफसकेटर आपको बहुत सिरदर्द ला सकते हैं, क्योंकि एपीआई के नए संस्करणों के लिए इस तरह की परियोजना को इकट्ठा करना बहुत मुश्किल होगा।

ऐतिहासिक रूप से, मौजूदा शांत ओफ़्फ़ुस्केटर मशीन कोड (सी / सी ++ के लिए) के तहत किए जाते हैं। अच्छे उदाहरण:

• ओबफसकेटर-एलएलवीएम, https://github.com/obfuscator-llvm/obfuscator
• Movfuscator, https://github.com/xoreaxeaxeax/movfuscator

उदाहरण के लिए, Movfuscator सभी opcodes को movs से बदल देता है, सभी शाखाओं को हटाते हुए, कोड को रैखिक बनाता है। हालाँकि, किसी कॉम्बैट प्रोजेक्ट में ऑबफ्यूज़ेशन के इस तरीके का उपयोग करने के लिए इसे हतोत्साहित किया जाता है, क्योंकि तब कोड बहुत धीमा और भारी हो जाता है।

यह समाधान उन अनुप्रयोगों के लिए उपयुक्त है जहां कोड का मुख्य भाग NDK है।

विकल्प 4: एक मालिकाना समाधान का उपयोग करें

मालिकाना सॉफ्टवेयर के रूप में, गंभीर अनुप्रयोगों के लिए यह सबसे सक्षम विकल्प है:
क) समर्थित;
b) हमेशा प्रासंगिक रहेगा।

इस तरह के समाधान का उपयोग करते समय मोटे कोड का एक उदाहरण:

इस कोड स्निपेट में आप देख सकते हैं:

1. चरों के सबसे असंगत नाम (रूसी पत्रों की उपस्थिति के साथ);
2. लाइनों में चीनी वर्ण जो यह स्पष्ट नहीं करते हैं कि परियोजना में वास्तव में क्या हो रहा है;
3. परियोजना में बहुत सारे जाल जोड़े गए हैं ("स्विच", "गोटो"), जो एप्लिकेशन कोडफ्लो को बहुत बदल देते हैं।

यह समाधान इसके लिए उपयुक्त है:

• बैंकों;
• बीमा कंपनियां;
• मोबाइल ऑपरेटर, पासवर्ड स्टोरेज एप्लिकेशन आदि।

विकल्प 5: रिएक्ट-नेटिव का उपयोग करें

मैंने इस बिंदु को उजागर करने का फैसला किया, क्योंकि क्रॉस-प्लेटफ़ॉर्म एप्लिकेशन लिखना अब एक बहुत लोकप्रिय गतिविधि बन गई है।

एक बहुत बड़े समुदाय के अलावा, जेएस के पास बहुत अधिक संख्या में खुले पर्यवेक्षक हैं। उदाहरण के लिए, वे आपके एप्लिकेशन को इमोटिकॉन्स में बदल सकते हैं:

मैं वास्तव में आपको इस समाधान पर सलाह देना चाहूंगा, लेकिन तब आपका प्रोजेक्ट कछुए की तुलना में बहुत तेज़ी से काम करेगा।

लेकिन कोड के लिए आवश्यकता को कम करके, हम वास्तव में अच्छी तरह से संरक्षित परियोजना बना सकते हैं। तो google "js obfuscator" और हमारी आउटपुट बंडल फ़ाइल को obfuscate करता है।

यह समाधान उन लोगों के लिए उपयुक्त है जो रिएक्ट नेटिव पर क्रॉस-प्लेटफॉर्म एप्लिकेशन लिखने के लिए तैयार हैं।

विकल्प 6: NDK का उपयोग करें

मुझे स्वयं अक्सर अपने कोड में NDK का उपयोग करना पड़ता था। और मुझे पता है कि कुछ डेवलपर्स का मानना ​​है कि एनडीके का उपयोग उनके आवेदन को रिवर्सलर्स से बचाता है। यह पूरी तरह सच नहीं है। पहले आपको यह समझने की आवश्यकता है कि एनडीके के साथ छिपाना कैसे काम करता है।

यह बहुत सरल है। कोड में कुछ JNI सम्मेलन है कि जब आप किसी प्रोजेक्ट में C / C ++ कोड कहते हैं, तो इसे निम्नानुसार परिवर्तित किया जाएगा।

NativeSummator मूल निवासी वर्ग:

मूल राशि पद्धति का कार्यान्वयन:

देशी स्थैतिक योग विधि का कार्यान्वयन:

यह स्पष्ट हो जाता है कि मूल विधि को कॉल करने के लिए, आप डायनामिक लाइब्रेरी में Java_<package name>_<Static?><class>_<method> फ़ंक्शन खोज का उपयोग करते हैं।

यदि आप Dalvik / ART कोड देखते हैं, तो हम निम्नलिखित पंक्तियाँ पाएँगे:

( स्रोत )

सबसे पहले, हम जावा ऑब्जेक्ट से निम्न लाइन Java_<package name>_<class>_<method> उत्पन्न करेंगे, और फिर डायनेमिक लाइब्रेरी में "डॉल्सिम" कॉल का उपयोग करके विधि को हल करने का प्रयास करेंगे, जो एनडीके में हमें आवश्यक फ़ंक्शन को खोजने की कोशिश करेगा।

इसी तरह से जेएनआई काम करता है। इसकी मुख्य समस्या यह है कि गतिशील पुस्तकालय को विघटित करके, हम सभी विधियों को पूर्ण दृष्टि से देखेंगे:

इसलिए, हमें इस तरह के समाधान के साथ आने की जरूरत है ताकि फ़ंक्शन का पता बाधित हो।

सबसे पहले मैंने सीधे हमारे जेएनआई तालिका में डेटा लिखने की कोशिश की, लेकिन मुझे एहसास हुआ कि एएसएलआर तंत्र और एंड्रॉइड के विभिन्न संस्करणों ने मुझे सभी उपकरणों पर इस पद्धति को काम करने की अनुमति नहीं दी है। फिर मैंने यह पता लगाने का फैसला किया कि एनडीके डेवलपर्स को कौन से तरीके प्रदान करता है।

और, लो और निहारना , एक "RegisterNatives" विधि थी जो वास्तव में हमें ज़रूरत है (आंतरिक फ़ंक्शन DVmRegisterJNIMethod कहते हैं )।

हम एक सरणी को परिभाषित करते हैं जो हमारी मूल विधि का वर्णन करती है:

और हम JNI_OnLoad फ़ंक्शन में अपनी घोषित विधि दर्ज करते हैं (डायनेमिक लाइब्रेरी को इनिशियलाइज़ किए जाने के बाद विधि को कॉल किया जाता है, हजार ):

हुर्रे, हम खुद "हिडफ़ंक" फ़ंक्शन को छिपाते हैं। अब हमारे पसंदीदा llvm obfuscator को लागू करें और अपने अंतिम रूप में कोड की सुरक्षा का आनंद लें।

यह समाधान उन अनुप्रयोगों के लिए उपयुक्त है जो पहले से ही NDK का उपयोग करते हैं (NDK को जोड़ने से परियोजना में बहुत मुश्किलें आती हैं, इसलिए यह समाधान गैर-एनडीके अनुप्रयोगों के लिए इतना प्रासंगिक नहीं है)।

निष्कर्ष

वास्तव में, एप्लिकेशन को किसी भी संवेदनशील डेटा को संग्रहीत नहीं करना चाहिए, या उपयोगकर्ता प्रमाणीकरण के बाद ही उन्हें सुलभ होना चाहिए। हालांकि, ऐसा होता है कि व्यावसायिक तर्क डेवलपर्स को आवेदन के अंदर टोकन, कुंजी और कोड तर्क के विशिष्ट तत्वों को संग्रहीत करने के लिए मजबूर करता है। मुझे उम्मीद है कि यह लेख आपकी मदद करेगा यदि आप इस तरह के संवेदनशील डेटा को साझा नहीं करना चाहते हैं और स्क्रिब के लिए एक "खुली किताब" हैं।

मेरा मानना ​​है कि किसी भी आधुनिक एप्लिकेशन का एक महत्वपूर्ण संरचनात्मक हिस्सा है ओफ़्यूसकेशन।

कोड छिपाने के मुद्दों के बारे में सावधानी से सोचें और आसान तरीकों की तलाश न करें! :)

वैसे, कुछ मुद्दों में मदद के लिए उपयोगकर्ता miproblema के लिए धन्यवाद। उसके टेलीग्राम चैनल की सदस्यता लें, यह वहां दिलचस्प है।

और लेख को संपादित करने में उनकी मदद के लिए sverkunchik और SCaptainCAP के उपयोगकर्ताओं के लिए भी बहुत धन्यवाद।