我在Android In App Billing的安全性方面投入了多少精力？

Question

我在Android应用程序中实现了In app Billing.我几乎遵循示例(Dungeon)应用程序来使其工作.它现在似乎运作良好.我现在需要决定应该在安全部分投入多少精力.

我有一个服务器,我可以用它来实现Security.java的东西.我目前也在使用标准的PurchaseDatabase实现.

截至目前,我正在考虑使用设备特定密钥加密.db文件,并单独保留Security.java.

我的想法是,我的应用程序是一个非常小众的应用程序,我不期待很多黑客攻击它.如果有些人努力节省一些钱(每件商品只需1美元),那就这样吧.

我想我正在寻找关于其他人对此的看法的看法......似乎没有100%安全的实施......只是使黑客不值得努力的实施.让其他人看到很多In App Purchases的黑客行为？

Answer 1

你说得对：你不需要实现非常复杂的保护功能，你需要实现需要花费太多时间才能找到和删除的保护功能这是来自 Google I/O 2011 的视频，介绍了减少“水蛭”的技术：http://www.youtube.com/watch?v=TnSNCXR9fbY，我强烈推荐它。您可能想要尝试的一些技术是：

• 使用单板层积材；
• 混淆代码；
• 从后台线程随机调用 LVL；
• 插入与普通代码混合的许可证检查；；
• CRC码文件；
• 勤奋：在JNI中使用反射来检查签名；
• 加密核心库/资源并动态加载它们。

其中一些技术非常简单，另一些则需要付出不可忽视的努力。最好的建议是发挥创意，将检查隐藏在破解者意想不到的地方。

另一个重要的一点是，如果您怀疑存在盗版行为，请让您的应用程序正常降级。例如，不要抛出“无效许可证”，因为您的许可证检查需要在应用程序启动时进行网络访问；相反，在某处存储一个“两个月有效”的令牌并随机更新它。在随机天数（例如 30-60 天范围内的随机整数）后检查它。客户不会注意到此检查，并且很难破解，因为经过很长时间（比破解者愿意在单个应用程序上花费的时间要多得多）之后它才会变得不明显。