获取Android库中源代码的校验和

Question

我正在开发一个Android库,我想在我的代码中应用篡改检测机制,因为它调用了一些敏感的金融Web服务.

我要实现的是在运行时以编程方式计算apk(或其重要部分)的校验和,这样我就可以防止重新打包或重新编译的apk能够造成任何伤害(防篡改).

到目前为止,我想出的是计算校验和applicationInfo.publicSourceDir.但我不确定具有多个dex文件或多个splitApks的应用程序会发生什么.

以编程方式基于Android应用程序的代码库计算校验和的最可靠方法是什么？

Answer 1

校验和方法可应用于单个文件或 zip 文件。检查所有文件的校验和将是一个漫长的过程。我认为你的方向是错误的。

首先，这个问题没有明确的解决方案。任何应用程序都可能被黑客攻击——你只需让它变得难以被黑客攻击即可。

这就是为了让它变得困难而做的——

1. 加密您的 apk - 这样就很难获取您的源代码。参考 - APK 保护 apk 免受逆向工程- 检查混淆工具。

2. 从 WebService 发送/接收数据时使用数据加密。您可以使用 HMAC 来保护数据。确保您的服务器足够智能，可以阻止用户/请求应用程序，以防出现多个错误调用。HMAC 很容易实现，并且有生成 HMAC 密钥的库。