難読化されたキーのキャッシングの脆弱性？ Android Licensing

Question

AndroidマーケットライセンスpingサーバーがGRANT_ACCESSポンを返すたびに、ユーザーの認証をキャッシュします。

誰にもこの戦略の脆弱性はありますか？私は鍵を難読化しているので、それは非常に強力だと信じています。そして、解読できない唯一の方法は、塩を知ることです。今、誰かがapkを開き、塩を探すことができるかもしれませんが、実際にはクラッキングのレベルではなく、心配することはそれほど重要ではないと思います。

ご覧のとおり、デバイス固有の情報が難読化手法に追加されています。

// Try to use more data here. ANDROID_ID is a single point of attack. 
String deviceId = Secure.getString(getContentResolver(), Secure.ANDROID_ID); 
obfuscator = new AESObfuscator(SALT, getPackageName(), deviceId); 
mChecker = new LicenseChecker(this, new ServerManagedPolicy(this, obfuscator), BASE64_PUBLIC_KEY); 

次永続データの作成：私はisCachedLicens場合はチェックし、最後に

boolean isCachedLicense() { 
    SharedPreferences settings = getSharedPreferences(PREFERENCES_EULA, 0); 
    if(settings.contains(ACCESS_KEY) && settings.contains(OBFU_ACCESS_KEY)) { 
    String accessKey = settings.getString(ACCESS_KEY, ""); 
    String obAccessKey = settings.getString(OBFU_ACCESS_KEY, ""); 
    try { 
     if(accessKey.equals(obfuscator.unobfuscate(obAccessKey))) { 
       return true; 
     } else { 
       return false; 
     } 
    } catch (ValidationException e) { 
     e.printStackTrace(); 
     return false; 
    } 
    } else { 
     return false; 
    } 
} 

：次に

public void allow() { 
    SharedPreferences settings = getSharedPreferences(PREFERENCES_EULA, 0); 
    SharedPreferences.Editor editor = settings.edit(); 
    String uid = UUID.randomUUID().toString(); 
    if(!settings.contains(ACCESS_KEY)) { 
    editor.putString(ACCESS_KEY,uid);  
    editor.commit(); 
    } 
    if(!settings.contains(OBFU_ACCESS_KEY)) { 
    String obfu = obfuscator.obfuscate(uid); 
    editor.putString(OBFU_ACCESS_KEY,obfu); 
    editor.commit(); 
    } 

、私はキャッシュされたコンテンツの状態をチェックするために別の方法を使用しましたeをLicenseCheckerCallbackの @Override dontAllowと@override applicationErrorの次の場所に置き換えます。 isCachedLicenseがtrueの場合は、ユーザーに転送させます。

また、完全なソースコードはhereにあります。

Answer 1

塩による難読化は、一般に弱い戦略です。攻撃者は、あなたが探しているものが分かれば、簡単に実行することができ、アプリケーションに直接アクセスすることなく実行することができます。塩が発見されると（誰でも）、私たちのインストールベースはすべて妥協しました。

固定キー付きの難読化アルゴリズムを使用する代わりに、実績のある暗号化ライブラリ+アルゴリズムを、実行中のユーザーまたはデバイスに固有のキーで使用することをお勧めします。