安卓代码混淆。我想隐藏 Parse.com 的 key

Question

我在我的 Android 应用程序中使用 Parse.com。我非常担心泄露 secret key 。如果 key 被泄露，其他人就可以自由访问我们在 Parse.com 上的资源。

key 保存在扩展应用程序类的 Java 类中。

我真的很想知道如何隐藏 key 。现在最好的做法是什么。简单且低成本的解决方案受到赞赏..

谢谢。

Answer 1

I really want to know how to hide the keys...

通常，您会尝试将敏感 Material 移出攻击者的控制范围。通常这意味着将尽可能多的敏感代码和数据移至服务器(并移出客户端)。

如果可能，请在服务器上运行 Parse.com 代码，这样客户端就不需要 API key 了。 key 泄露的风险很小，因为客户端的攻击者无法使用它们。

如果您对用户进行身份验证，则将 API key 保存在您的服务器上。一旦用户通过身份验证，就将其提供给应用程序。 key 仍然存在泄露的风险，但它不会被硬编码到应用程序中，也不会使用 APKTool 等分析工具轻松找到。 .

您还可以采取其他步骤。 Proguard和 API key 的加密浮现在脑海中。在 Android 4.0 及更高版本上，您还应该将它们存储在 Keychain 中。 .它会阻止没有动机的攻击者，并减缓有动机的攻击者。 Best Practice for storing private API keys in Android 涵盖了其中大部分内容.

您也可以加密二进制文件以供分发，但我知道这更像是来自 Google Play 的 DRM 控件(而不是应用程序/数据安全控件)。参见，例如，Questions about Google Play application assets encryption .