金融移动应用安全对策
信雅达技术中心
张树人
shur.zhang@https://www.doczj.com/doc/d817842431.html,
132********
安全问题
?移动应用在运营推广过程中被破解、盗版、二次打包、注入、反编译等
行业常见解决方案分析?一、抗静态分析
?1、国内的apk加固技术都
使用了将原有的dex隐藏,
在运行时解压, 并且通过修
改app的类加载器的方式实
现加固
?不管如何隐藏dex, 最终在
运行时都必须释放到内存,
所以从内存中找到解密后的
dex文件, 进而得到加固前
的apk
?2、so混淆
行业常见解决方案分析?二、抗动态-反调试
?一个进程只能被一个进程ptrace，如果自己调用ptarce，这样其它程序就无法通过ptrace调试或者向程序进程注入代码。
android防破解方法汇总?1、禁用调试标志以及检测调试器
?2、检测是否在模拟器中运行
?3、APK签名校验
?4、java代码混淆
?5、使用NDK .so动态库
?6、android类动态加载技术
?7、伪加密
?8、加壳
?9、防代码注入
?10、自修改dalvik字节码（运行时篡改Dalvik字节码）?11、运行时重要数据防篡改
?12、和服务器通信数据加密
?13、存储数据的加密
加固工具分析
?加固后apk新增以下文件：
? assets\meta-data\manifest.mf //APK文件列表SHA1-Digest
? assets\meta-data\rsa.pub //RSA公钥信息
? assets\meta-data\rsa.sig //数字签名文件
? assets\classes.jar //已加密原classes.dex文件
? assets\com.example.hellojni //ARM平台二进制可执行文件
? assets\com.example.hellojni.x86 //x86功能同上
? libs\armeabi\libsecexe.so //ARM平台共享库文件
? libs\x86\libsecexe.so //x86功能同上
?加固后修改文件：
? AndroidMainfest.xml //（如果应用配置有Application信息，则该文件加固前后相同，如果应用未配置Application信息，则该文件加固前后不相同，梆梆会配置Application信息为自己实现类）
? classes.dex
开发者License ?DexGuard让应用开发者专注于业务功能，无须为安全费神
?1 DexGuard developer license - 480 €?2 DexGuard developer licenses - 650 €?3 DexGuard developer licenses - 820 €?4 DexGuard developer licenses - 990 €?5 DexGuard developer licenses - 1 160 €
APKProtect
?KNOX集成了由美国国家安全局研发的Android系统安全强化套件（SE Android）以及应用于硬件和Android框架的完整性管理服务。而且三星GALAXY S4年初作为首个搭载该服务的机型也与一向以企业安全服务著称的黑莓新品Q10和Z10一起通过了美国国防部安全认证。
SEAndroid概述
?SEAndroid（Security-Enhanced Android），是将原本运用在Linux操作系统上的MAC强制存取控管套件SELinux，移植到Android平台上。可以用来强化Android操作系统对App的存取控管，建立类似沙箱的执行隔离效果，来确保每一个App之间的独立运作，也因此可以阻止恶意App对系统或其它应用程序的攻击。
?SEAndroid的中心理念是，即使root权限被篡夺，只求阻止应用的恶意行为。
安全云POS操作系统基础SELinux
移动安全平台组成
移动安全平台部署