В моем мобильном приложении есть пароли, токены, API-ключи — можно ли его реверс-инжинирить?

Kemal S***8 дней назад·44 сообщения·2,3 тыс. просмотра#мобильный #безопасность #обфускация

Kemal S***Участник

Должность: Полевой торговый представитель
Отрасль: Машиностроение
Тип организации: компания с двумя филиалами
Дата регистрации: июнь 2023 г.
Сообщение: 62

8 дней назад#1

Реверс-инжиниринг моего Android APK занимает 5 минут. Декомпиляторы (ApkTool, Frida) показывают пароли и токены. Как это защитить?

Понял что нельзя хардкодить API-ключи. Но динамическое получение с сервера тоже нагружает сервер. Есть ли золотая середина?

Есть ли такой же риск в iOS-приложениях? Можно ли читать данные приложения на джейлбрейкнутых устройствах?

Doki ekibiКоманда Doki

Должность: Официальный аккаунт
Отрасль: Информационная безопасность и цифровые технологии
Тип организации: Doki
Дата регистрации: март 2023 г.
Сообщение: 310

8 дней назадСамый полезный#2

Безопасность мобильных приложений: риск реверс-инжиниринга (Android APK/iOS IPA легко декомпилируются). Стратегии защиты: 1) Хранение чувствительных данных: Keychain (iOS), KeyStore (Android), зашифрованные SharedPreferences, 2) Обфускация (ProGuard для Android, SwiftShield для iOS), 3) API-ключи: хранение на сервере (никогда не встраивать), certificate pinning (валидация идентичности сервера), динамическое обновление токенов (короткоживущие токены, выдаваемые сервером), 4) Детект root/jailbreak (API-запрос падает при обнаружении, но не гарантирует 100%), 5) Защита во время выполнения (виртуализация кода: сложно/дорого, низкая рентабельность для малого бизнеса), 6) Сетевая безопасность: TLS 1.2+, certificate pinning (защита от MITM), 7) Анти-инструментация против Frida (сложно, игра в кошки-мышки). Практический совет: держите API-ключ на сервере, приложение → запрос к серверу → сервер возвращает аутентифицированный токен, токен кэшируется на клиенте (время жизни: 1-24 часа). Хранение данных: чувствительные данные = шифровать (библиотека Android Encrypter, iOS Keychain), нечувствительные = SharedPreferences/UserDefaults. Риск джейлбрейка: доступ к данным возможен (права root), митигация = шифрование + certificate pinning (ограничивает векторы атаки). Риск на iOS ниже (закрытая экосистема), на Android выше (открытая, рутовать легко). Пентест: сканирование уязвимостей инструментами (Burp Suite mobile, чек-лист OWASP Mobile Top 10).

Yavuz A***УчастникУчастник сообщества

Дата регистрации: нояб. 2022 г.
Сообщение: 139

7 дней назад#3

не хардкодь api key. держи на сервере запрашивай токен из приложения. используй certificate pinning (для защиты от MITM). в общем используй keystore/keychain для чувствительных данных. обфусцируй apk через proguard. добавь проверку root/jailbreak...

Esra O***Участник

Должность: Директор по качеству
Отрасль: Сельское хозяйство
Тип организации: команда из 8 человек
Дата регистрации: май 2023 г.
Сообщение: 84

7 дней назад#4

Мобильная безопасность: 1) AndroidKeyStore: KeyStore.getInstance('AndroidKeyStore'), генерация ключей с шифрованием, 2) iOS Keychain: SecItemAdd() для безопасного хранения, 3) Аутентификация API: обновление OAuth-токенов (истекают через 1 час, выдаются сервером), 4) Certificate pinning (TrustKit для iOS, Network Security Configuration для Android), 5) Обфускация (правила ProGuard: защищать API-классы, остальное путать), 6) Проверки в рантайме (RootBeer для Android, DTTJailbreakDetection для iOS), 7) Защита от Frida (детект хуков: валидация сигнатур API-функций). Иерархия хранения: Общее (нет), Локальное (шифрованное), Keychain/Keystore (аппаратная защита, если есть). Инструменты пентеста: Burp Suite (мобильный прокси), Frida (интерактивная инструментация), декомпилятор APK (apktool, dex2jar), отладчики (gdb на Android, lldb на iOS).

Uğur V***УчастникУчастник сообщества

Дата регистрации: авг. 2023 г.
Сообщение: 282

7 дней назад#5

не хардкодь API-ключи, держи на сервере. логин в приложении → сервер шлет токен → клиент кэширует. токен протухает за 1-4 часа. используй Keystore/Keychain для хранения данных. обфусцируй чрез ProGuard. добавь проверку на jailbreak/root если обнаружено — закрывай апп...

Uğur Y***Ветеран

Должность: Руководитель клиники
Отрасль: Кейтеринг
Тип организации: среднее предприятие
Дата регистрации: март 2023 г.
Сообщение: 253

7 дней назад#6

Слои безопасности мобильного приложения: Сеть (TLS 1.2+, certificate pinning), API (токенная аутентификация, OAuth, короткое время жизни), Хранение (шифрованный keystore) Код (обфускация защита от модификации), Рантайм (детект jailbreak/root). Модель угроз: физический доступ (рутованное устройство, дебаггер) сетевой доступ (перехват через прокси — блокируется cert pinning), анализ кода (реверс-инжиниринг — усложняется обфускацией). OWASP Mobile Top 10: небезопасная передача (предотвращай TLS bypass) небезопасное хранение (шифрование в keystore), небезопасная аутентификация (лучшие практики OAuth), слабая криптография (AES-256), инъекции на клиенте (валидация ввода).