xmoonlight

1. нужно понимать базовую архитектуру проекта на выбранном языке/платформе
2. составить полную схему движения данных по функциональным модулям (включая серверно-клиентский обмен данными) в бизнес-задаче всего проекта
3. спроектировать интерфейс,
4. начать кодить

Обычно делается авторизация через андроид-учётку в прозрачном режиме. Т.е. запустил пользователь приложение - оно его авторизовало автоматом. "Полезло" приложение на Ваш сервер - передаётся Google ID.
Если приложению нужна работа с сервером под произвольным аккаунтом этого сервиса или необходима повышенная безопасность при запуске - тогда ДОПОЛНИТЕЛЬНО создаётся форма логина, иначе - форма авторизации и логина не нужна в принципе.
См. тут, как сделать авторизацию.

1. Лучший вариант - рисуете и сочиняете сами (т.е. автор - Вы).
2. Самый простой - берёте со стоков с бесплатными лицензиями с дальнейшим указанием используемых ресурсов в разделе "О программе"/"Credits"/"About us" и подобное.
3. Самый небюджетный - заказываете за деньги, ОБЯЗАТЕЛЬНО! получаете одну из нескольких видов лицензий (документ), подтверждающий правомерность использования Вами данного материала (с указанием правил использования для каждого вида деятельности, если правила имеют отличия на основе видов деятельности).

Далее, робот проверки качества и соблюдения авторских прав на маркете (в данном случае - на Google Play) проверяет все ресурсы из приложения по своей накопленной базе, и, если есть в ней авторские объекты с закрытой лицензией, попросит предоставить документ, подтверждающий легальность использования медиа-контента (графика, аудио, видео и т.д.) в Вашем приложении.

PS: Вообще, должно быть какое-то API от гугла, чтобы это можно было проверить заранее. Но, я не искал.

Так вот для начала спрошу правильная ли схема (если не то подскажите где и что не так)? Если да, то как мне сделать всю эту клиентскую логику , а именно: Как обрабатывать сертификат, генерировать ключ, добавлять MAC к запросу и прочее. С помощь каких библиотек это делать?

А теперь - деобфускация:

Подскажите: как сделать HTTPS своими силами по пунктам? С помощь каких библиотек это делать?

Ответ:

Одним из самых распространённых применений TLS является HTTPS. HTTPS стремительно вытесняет незащищённую версию (HTTP): доля зашифрованного веб-трафика растёт, скорее всего, в скором будущем (несколько лет, 2016) практически весь веб-трафик будет зашифрован. В новой версии HTTP/2 защита информации средствами TLS будет использоваться по умолчанию. Благодаря такому положению дел, SSL/TLS - один из самых изученных, исследованных протоколов современного Интернета.

Все подробности по работе протокола - здесь.

Функция для создания защищённого подключения HTTPS на Android: HttpsURLConnection

Смотрите на реализацию CRAM-MD5
(вместо MD5, ставите любую более "устойчивую" hash-функцию)

нужно будет узнать алгоритм получения соли в android приложении.Все так?Или где-то дырка

именно в этом и дырка, что достать алгоритм из приложения - проще простого!

Очень много ошибок!

1. При регистрации - никогда не отправляется пароль в чистом виде на сервер! Он вначале хэшируется, затем шифруются все регистрационные данные с использованием открытого ключа сервера внутри приложения, подписывается этим ключом и только после этого всё отправляется на сервер. Сервер - никогда не должен знать пароля. Он должен иметь возможность лишь проверять сам факт совпадения подписанных данных авторизации! Т.е. два поля: логин и hash на основе различных данных, включая публичный ключ: логин+пасс+...+...

2. Авторизация - CRAM-MD5 (Challenge-Response), используем ту же механику что и в CRAM-MD5, только хешируем более стойким алгоритмом и.. ВНИМАНИЕ! подписываем открытым ключом. И только после этого - отсылаем серверу на проверку. В случае успеха - получаем TOKEN сессии от сервера.

3. Общение/обмен данными - формируем json, шифруем эти данные с помощью открытого ключа, подписываем (формируем hash для передаваемого серверу сообщения) на основе следующих данных: выданный сервером TOKEN, TIMESTAMP и RANDOM. Добавляем в "хвост" шифрованные TIMESTAMP (время) и RANDOM(случайная строка). Это нужно для предотвращения повторных запросов задним числом.

подробнее

https://developer.android.com/guide/topics/data/da...
(SQLite 3.9)

www.theappguruz.com/blog/draw-line-mouse-move-dete...