java - 验证文件 - 安全问题

Question

我有一个名为 A.txt 的文件，我在 java 应用程序中使用它。该文件与应用程序一起提供，我希望有一种方法来验证(在应用程序内)它确实是我的文件，而不是伪造的文件。

我有两个想法，但都容易受到一些攻击:

1. 我以纯文本形式随应用程序发送签名、A.txt 和公钥，但如果攻击者只是签署自己的文件，替换签名、A.txt 和公钥，验证就会通过。

2. 我将公钥硬编码到 java 应用程序中 - 除了反编译之外，如果我将 A.txt 发送给 A 人，将 B.txt 发送给 B 人，并且他们交换他们的 txt，他们都会成功验证，并且我'我宁愿让 A 成功验证 A.txt。

我怎样才能做到这一点而不可能受到攻击？或者我该如何实现我的方法才能保证它们的安全？

Answer 1

在代码中隐藏加密 key 可能非常危险。 Reinard 对于可以加密和解密文件的 Web 服务有一个好主意。

另一个选择可能是将 key 隐藏在注册表中或隐藏目录中的某个位置。您还可以尝试构建自己的算法来构建解密 key 。

但是反编译呢？这一直是大多数开发者的一大痛点。如何在代码中正确隐藏 secret ？您可以尝试使用应用程序打包器或加扰器来减慢反编译过程。您还可以获得一个 java 混淆器，例如 ProGaurd使您的代码更难进行逆向工程。

我真的希望这能有所帮助。