验证Android apk没有重新包装？

Question

希望改进我的Android应用程序的安全性,以标记.apk是否已被提取,修改,重新包装和重新签名.这是来自Zdnet的文章,注意到问题link1.

令人担忧的是,如果应用程序被黑客攻击,他们可能会添加恶意代码并上传到备用应用程序商店并欺骗用户下载它.

所以我正在考虑验证apk或签名证书的校验和的代码？

我很欣赏应用程序代码可以重新打包并删除任何安全代码,但它确实增加了重新打包的难度,也许足以让他们尝试另一个应用程序.

[更新]我知道Google Play商店许可模块提供类似的东西,但我正在寻找非付费应用和其他/非市场的东西.

Answer 1

我最终使用了Dexguard（Android 付费混淆器）。它提供了一个执行 apk 验证的模块。它实施起来很简单，并且提供比一般水平更好的保护。

这是进行检查的代码：

dexguard.util.TamperDetection.checkApk(context)

主要问题是在哪里存储 apk 的校验和以验证它是否可以被替换。dexguard 方法是在本地检查它，但使用其他功能（例如类/字符串加密和 api 隐藏）来掩盖此调用。