httpリクエストが私のアンドロイドアプリから来ているかどうか確認してください

Question

私はアンドロイドアプリケーションで使用するために外部サーバーからデータを取得します。私はこのデータが私のアプリでのみアクセス可能であることを望みます。私は標準のhttp接続を使用して、json形式のapache/phpサーバーからデータを取得します。また、関連するデータを取得するためにいくつかのパラメータをサーバーに送信します。今、私は何をするつもりは次のとおりです。

1. MD5（ "someSecretPhrase" +のparams）のようなものを送るのparams
2. を送信します。
3. 秘密の句がサーバー側で正しいかどうか確認してください。

ここで、リバースエンジニアリングに関しては安全なアプローチですか？今のところ私はこのデータを得る他の可能性はないと考えることができます。しかし、もし誰かが私のAPKを逆コンパイルできれば、彼はこの "someSecretPhrase"（サーバ側でやるのは難しい）を取り出してサーバにアクセスすることができますか？本当の脅威ですか？サーバーによって私のアプリケーションを認証する他の可能性はありますか？

私はフォーラムなどを見ました。 Identify whether HTTP requests from Android App or not? and then respond appropriatelyですが、デコンパイルの問題については説明していません。

Answer 1

一方になりましたあなたはクライアントデータを信頼しません。これまで

あなたがなど攻撃者に知られているすべての「秘密」鍵は、

あなたは、しかし、あなたのリクエストを偽造する攻撃者の試みを妨げることができ、あなたのアプリが逆コンパイルを検討してください。リクエストのチェックサムの送信（および確認）は、方法の1つです（あなたの考えはMD5(secret_key + params)）。

バイナリ暗号化プロトコルに切り替えることもできます。しかし、これにはさらに多くの作業とかなり異なるアーキテクチャのサーバーが必要です。

Answer 2

あなたのapkを誰かが逆コンパイルすると、あなたの文字列を簡単に見ることができます。

EDIT：私はこれを行うには良い方法があるとは思わない...多分唯一のAndroidコピープロテクションをAndroidマーケットでアプリケーションを公開する...基本的なルールの

Answer 3

アプリケーションがサーバーとハンドシェイクを実行するように、アルゴリズムは単なる文字列ではなく、プロセス全体です。使用するセッション/あなたのハンドシェイクを追跡するためのデータベース

Answer 4

あなたは例えばのstrings.xmlにセットして、すべてのURLリンクやparamete名前をあなたのリンクを非表示にすることができます：USER_NAME http://wwww.yourdomain.com/yourpage.any とでそのようなURLを取得：

String serverUrl = Resources.getsystem().getstring(R.strings.name_your_link_id); String parameterKey = Resources.getsystem().getstring(R.strings.name_your_parameter_id); Uri url = Uri.parse(serverUrl+"?"+parameterKey+"=" + yorusername);

とhttpリクエストを行います。 HttpURLConnection con =（HttpURLConnection）url.openConnection（）;いずれかのアプリを逆コンパイルしようとすると、

彼はR.javaファイル内の唯一のIDと長整数はこの String serverUrl = Resources.getsystem().getstring(12346546564); String parameterKey = Resources.getsystem().getstring(123321321132);

Answer 5

ようなコードを取得し表示しますAndroidのは、（署名機関または自己署名入り）1が自分のアプリをsignすべきであることが必要ですそれがインストールされる前に。これを利用して、リクエストがあなたのアプリから来ているかどうかを確認することができます。

1. 証明書を使ってアプリに署名します。
2. Find証明書の署名を作成し、バックエンドサーバーに保存します。
3. リクエストごとに、この署名がアプリによって送信されることを期待してください。
4. サーバーレベルでアプリから送信された署名を検証し、一致する場合にのみ受け入れます。でも、誰かがあなたのアプリケーションを改ざんその場合の

は、彼はそれをインストールする前に、アプリの署名を変更するだろうし、私たちの検証メカニズムは、単純なすべてのそのような要求を拒否しており、再びそれに署名する必要があります。

この回答はthisブログに基づいています。アプリ< - >サーバー通信用にhttpsを使用してください。