Как предохраняться при общении клиента с сервером по http?

Question

[p4p]

У меня приложение для android к которому я хочу прикрутить немного общения с сервером. Я написал прослойку на php, для записи и получения данных с базы. Но я хочу чтобы к серверу можно было достучаться только с этого приложения, как это сделать? Я конечно могу секретный код использовать но приложение не защищено от реверс инженеринга, то есть смогут подсмотрев код понять как познакомится с сервером. Как быть?

Answer 1

[Алексей]

Если исходить из предположения что приложение может быть полностью декомпилировано, то и любой ваш алгоритм может быть полностью восстановлен. Все что вы можете сделать - это усложнить восстановление алгоритма. Пароли, сертификаты, https, ассиметричное шифрование, хранение полученного с сервера ключа в файловой системе и тд.
Если считать что приложение достаточно обфусцировано и восстановлению (в разумные сроки) не подлежит, то достаточно применить https, можно сertificate pinning для предотвращения реверса протокола через mitm.
Все глубокое имхо.
Ну и как совсем крайний случай - генерация уровня на сервере, передача на сервер нажатия всех кнопок, проверка на сервере прохождения путем анализа нажатия кнопок.

Comments

[Денис Загаевский]

Последний описанный вариант реализован компаний ZeptoLab в их "Короле воров". При этом им пришлось основывать всю физику на своей реализации чисел с фиксированной (в отличие от float) точкой, чтобы проверка на сервере работала правильно. И всё равно их ломали по началу. Так что вряд ли автор способен прибегнуть к этому варианту:)

[Алексей]

Денис Загаевский: Интересная информация, спасибо.

[Денис Загаевский]

Алексей: https://youtu.be/guX9YvZKfNw на 13+ минуте про это говорит.

[Алексей]

Денис Загаевский: Спасибо, было интересно послушать.

Answer 2

[#алгоптимизируй #отботизируй]

Что там за данные ,если не секрет?

Comments

[p4p]

Рекорды, логины и прочее

[#алгоптимизируй #отботизируй]

Хм, вы делаете логин и пароль = аккаунт, каждое приложение со своего аккаунта получает только то, к чему имеет доступ. Это почему не устраивает?

[p4p]

С Sharp: потому что кто то зарегистрировался сможет не из приложения записать любые другие данные послав get/post

Answer 3

[Rou1997]

Как быть?

Нужно исходить из рентабельности, для себя и для взломщиков, как выше сказали, любая защита "ломается", разница только в приложенном усилии и времени, а это уже вопрос бюджета, нужно сделать так, чтобы работа взломщика стоила столько, чтобы ее не оплатили, в то же время ваша работа по защите тоже не обошлась вам слишком дорого.

Answer 4

[spotifi]

Индивидульные ключи.