java - 暴露 GCM SENDER ID 会产生什么后果？

Question

场景:假设攻击者通过对.apk文件进行逆向工程，获取了应用中使用的Push Registration Service的SENDER ID。攻击者开发了一个类似的虚假应用程序，它具有相同/不同的包名，并且已上传到与 Google Play 不同的应用程序商店。

我的问题:他/她能否在该应用程序中使用相同的 SENDER ID？这对安装该虚假应用程序的用户有何影响？

相关问题: google cloud messaging security问题似乎有点相似。也是 Android GCM: same sender id for more application 的答案问题提供了有值(value)的信息。阅读两个已接受的答案，结论似乎是绝对有可能，这就是为什么建议不要在推送消息中包含敏感数据。

但这似乎并不能解决问题。我无法理解上述安全漏洞的影响。

Answer 1

发件人 ID(又名 Google API 项目 ID)不绑定(bind)到唯一的应用程序包名称。事实上，多个应用程序可以使用相同的发送者 ID 注册到 GCM，这将允许使用相同的 API key 向所有这些应用程序发送 GCM 消息。当然，每个应用程序都会有不同的注册 ID(即使在同一台设备上)。

如果有人知道您的发件人 ID，他们可以使用该发件人 ID 注册到 GCM，但如果不知道 API key ，他们将无法将 GCM 消息发送到假应用或真实应用。当他们注册到 GCM 时，GCM 会收到他们假冒应用程序的包 ID。因此，如果您向真实应用程序的注册 ID 发送消息，它将不会到达假应用程序。为了让假应用程序从您的服务器获取消息，它需要将自己的注册 ID 发送到您的服务器并欺骗您的服务器，使其相信它是真正的应用程序。在我们的服务器应用程序中，您必须提及我们的 API key 。如果您想发送任何需要的通知。