Verstecken sensibler Zeichenfolgen in verschleiertem Code

Das Verschleiern von Code zum Schutz proprietärer Informationen ist eine gängige Praxis, aber anspruchsvolle Augen können dennoch versteckte Zeichenfolgen aufdecken. Um sensible Daten effektiv zu verbergen, sollten Sie die folgenden Techniken in Betracht ziehen:

Verschlüsselung vs. Verschlüsselung

Wenn das Ziel darin besteht, zufällige Einblicke zu verhindern, kann eine Verschlüsselung ausreichen. Die Klasse android.util.Base64 bietet eine praktische Methode. Allerdings bietet die Verschlüsselung eine vernachlässigbare Sicherheit.

Für einen stärkeren Schutz vor Angreifern wird eine symmetrische Verschlüsselung mit einer Verschlüsselung wie AES empfohlen. Die Klasse javax.crypto.Cipher bietet ein Beispiel für ihre Verwendung.

Manuelle Verschlüsselung und Entschlüsselung

Implementieren Sie die Verschlüsselung und Entschlüsselung manuell, indem Sie die folgenden Schritte befolgen:

1. Verschlüsseln Sie die Zeichenfolge mit einem bekannten Schlüssel.
2. Aktualisieren Sie den Code, um die entschlüsselte Version der Zeichenfolge zu verwenden (verwenden Sie z. B. MyDecryptUtil.decrypt(encrypted, key) anstelle von mySecret = "http:// example.com").

DRM-Lösungen von Drittanbietern

Erwägen Sie die Verwendung von DRM-Lösungen von Drittanbietern wie dem Lizenzserver von Google. Sie bieten potenzielle Sicherheitsvorteile gegenüber selbst erstellten Lösungen, weisen aber dennoch ähnliche Einschränkungen wie die manuelle Ver- und Entschlüsselung auf.

R-Klassenzeichenfolgen

Die von Ihnen erwähnten R-Klassenzeichenfolgen Ihr Code enthält Verweise auf Ressourcen. Verschleierer wie ProGuard verschleiern nicht die R-Klasse selbst, sondern die Verweise auf die Ressourcen-IDs. Sie behalten die gleiche Nummer bei, ändern jedoch die Zuordnung, die auf die tatsächliche Ressource verweist.

In diesem Fall verweist 2130903058 auf eine Layoutdatei. Ohne die dekompilierte R-Klasse können Sie die von ihr dargestellte Ressource nicht direkt abrufen, es handelt sich jedoch immer noch um eine Adresse für die Binärdaten der Ressource.