عندي كلمات مرور، توكنات، ومفاتيح API في تطبيق الموبايل — هل يمكن هندسة التطبيق عكسياً؟

Kemal S***قبل 8 أيام·44 رسالة·2.3 ألف مشاهدات#جوال #أمن #تشويش

المسمى الوظيفي: مندوب مبيعات ميداني
قطاع: تصنيع الآلات
نوع المنظمة: نشاط تجاري بفرعين
تاريخ الانضمام: يونيو 2023
رسالة: 62

قبل 8 أيام#1

هندسة ملف APK الخاص بي عكسياً تستغرق 5 دقائق. تظهر كلمات المرور والتوكنات باستخدام أدوات فك التجميع (ApkTool, Frida). كيف يمكنني حماية هذا؟

فهمت إنه ما لازم أحط مفاتيح الـ API بشكل ثابت في الكود (hard-code). بس أخذها ديناميكياً من السيرفر بيحمّل السيرفر. في حل وسط؟

نفس الخطر موجود في تطبيقات iOS؟ هل نقدر نقرأ بيانات التطبيق على الأجهزة المكسورة الحماية (Jailbroken)؟

Doki ekibiفريق دوكي

المسمى الوظيفي: حساب رسمي
قطاع: الأمن السيبراني والرقمي
نوع المنظمة: Doki
تاريخ الانضمام: مارس 2023
رسالة: 310

قبل 8 أيامالأكثر إفادة#2

أمن تطبيقات الموبايل: خطر الهندسة العكسية (ملفات Android APK/iOS IPA تفكك بسهولة). استراتيجيات الحماية: 1) تخزين البيانات الحساسة: Keychain (iOS)، KeyStore (Android)، SharedPreferences مشفرة، 2) التشويش على الكود (Obfuscation) (ProGuard للأندرويد، SwiftShield للـ iOS)، 3) مفاتيح الـ API: تخزين في السيرفر (لا تدمجها أبداً)، تثبيت الشهادة (certificate pinning) (للتحقق من هوية السيرفر)، تحديث التوكن ديناميكياً (توكنات قصيرة العمر، صادرة من السيرفر)، 4) كشف الروت/الجيلبريك (فشل استدعاء الـ API إذا اكتشف، ليس حصيناً تماماً)، 5) حماية وقت التشغيل (تخيل الكود: صعب/معقد، العائد على التكلفة منخفض للشركات الصغيرة والمتوسطة)، 6) أمن الشبكة: TLS 1.2+، تثبيت الشهادة (لمنع هجمات MITM)، 7) مقاومة أدوات Frida (صعب، لعبة قط وفأر). نصيحة عملية: خلي مفتاح الـ API في السيرفر، التطبيق يرسل طلباً للسيرفر ← السيرفر يرجع توكن موثق، التوكن يخزن مؤقتاً في العميل (انتهاء الصلاحية: 1-24 ساعة). تخزين البيانات: البيانات الحساسة = مشفرة (مكتبة Android Encrypter، iOS Keychain)، غير الحساسة = SharedPreferences/UserDefaults. خطر الجيلبريك: الوصول للبيانات ممكن (صلاحية الروت)، التخفيف = التشفير + تثبيت الشهادة (يحد من متجهات الهجوم). خطر iOS أقل (نظام مغلق)، الأندرويد أعلى (مفتوح، الروت سهل). اختبار الاختراق: فحص الثغرات بالأدوات (Burp Suite mobile، قائمة OWASP Mobile Top 10).

Yavuz A***مشاركعضو المجتمع

تاريخ الانضمام: نوفمبر 2022
رسالة: 139

قبل 7 أيام#3

لا تعمل hard-code لمفتاح الـ API. خليه في السيرفر، اطلب توكن من التطبيق. استخدم certificate pinning (لمنع MITM). استخدم keystore/keychain للبيانات الحساسة... شوش على الكود (obfuscate) باستخدام proguard لملف الـ apk. أضف فحص للروت/الجيلبريك...

Esra O***مشارك

المسمى الوظيفي: مدير ضمان الجودة
قطاع: زراعة
نوع المنظمة: فريق من 8 أشخاص
تاريخ الانضمام: مايو 2023
رسالة: 84

قبل 7 أيام#4

تطبيق أمان الموبايل: 1) AndroidKeyStore: KeyStore.getInstance('AndroidKeyStore')، توليد المفاتيح مع التشفير، 2) iOS Keychain: SecItemAdd() للتخزين الآمن، 3) مصادقة API: تجديد توكن OAuth (ينتهي بعد ساعة، يصدر من السيرفر)، 4) تثبيت الشهادة (TrustKit على iOS، Network Security Configuration على Android)، 5) التشويش (Obfuscation) (قواعد ProGuard: احمِ فئات API، وشوّش على الباقي)، 6) فحوصات وقت التشغيل (RootBeer على Android، DTTJailbreakDetection على iOS)، 7) تقوية ضد Frida (كشف الـ anti-hook: التحقق من توقيع دوال API). تسلسل التخزين: عام (لا يوجد)، محلي (مشفّر)، Keychain/Keystore (مدعوم بالهاردوير إن وجد). أدوات اختبار الاختراق: Burp Suite كـ proxy للموبايل، Frida للتلاعب التفاعلي، فك تجميع APK (apktool، dex2jar)، المصحح (gdb على Android، lldb على iOS).

Uğur V***مشاركعضو المجتمع

تاريخ الانضمام: أغسطس 2023
رسالة: 282

قبل 7 أيام#5

لا تحط مفتاح الـ API ثابت في الكود يا رجل، خليه على السيرفر. التطبيق يسجل دخول → يرسل التوكن من السيرفر → العميل يخزنه مؤقتاً. التوكن ينتهي صلاحية خلال 1-4 ساعات. استخدم Keystore/Keychain لتخزين البيانات. طيب شغّل ProGuard للتشويش... أضف فحص jailbreak/root، وإذا انكشف التطبيق يقفل...

Uğur Y***محارب قديم

المسمى الوظيفي: مدير عيادة
قطاع: خدمات تموين
نوع المنظمة: مؤسسة متوسطة الحجم
تاريخ الانضمام: مارس 2023
رسالة: 253

قبل 7 أيام#6

طبقات أمان تطبيقات الموبايل: الشبكة (TLS 1.2+، تثبيت الشهادة)، API (مصادقة قائمة على التوكن، OAuth، صلاحية قصيرة)، التخزين (keystore مشفر)، الكود (تشويش، حماية من العبث)، وقت التشغيل (كشف jailbreak/root). نموذج التهديد: الوصول الفيزيائي (جهاز rooted، debugger)، الوصول للشبكة (اعتراض الـ proxy — يُمنع عبر cert pinning)، تحليل الكود (الهندسة العكسية — يُقلل عبر التشويش). OWASP Mobile Top 10: نقل غير آمن (منع تجاوز TLS)، تخزين غير آمن (تشفير keystore)، مصادقة غير آمنة (أفضل ممارسات OAuth)، تشفير ضعيف (AES-256)، حقن من جهة العميل (التحقق من المدخلات).