Rekayasa Balik Aplikasi

Rekayasa balik adalah membongkar aplikasi jadi untuk memahami cara kerjanya di dalam.

Penyerang menggunakannya untuk menemukan rahasia, melewati pemeriksaan, dan menemukan kerentanan.

Aplikasi didistribusikan sebagai paket: APK di Android atau IPA di iOS.

Paket tersebut pada dasarnya adalah arsip yang dapat dibongkar dan dijelajahi oleh penyerang.

Analisis statis berarti memeriksa aplikasi tanpa menjalankannya.

Penyerang mengekstrak paket lalu membaca berkas, sumber daya, dan kodenya untuk mempelajari struktur serta logikanya.

Alat dapat mengubah kode terkompilasi kembali menjadi bentuk yang mudah dibaca.

Di Android, alat seperti jadx mengubah kode bita menjadi kode sumber yang mirip Java, sehingga mengungkap cara aplikasi berperilaku.

Salah satu hal pertama yang dicari penyerang adalah rahasia yang ditulis tetap.

Kunci antarmuka pemrograman aplikasi atau alamat yang ditinggalkan di dalam kode mudah ditemukan setelah didekompilasi, jadi jangan pernah mengandalkan penyembunyian rahasia di dalam aplikasi.

Analisis dinamis mengamati aplikasi saat sedang berjalan.

Penyerang mengamati lalu lintas jaringan, memori, dan pemanggilan fungsi untuk melihat nilai serta perilaku sebenarnya, bukan hanya kode statis.

Alat seperti Frida memungkinkan penyerang mengaitkan diri ke aplikasi yang sedang berjalan dan mengubah perilakunya secara langsung.

Penyerang dapat melewati pemeriksaan keamanan atau membaca nilai rahasia saat nilai tersebut digunakan.

Setelah memahami aplikasi, penyerang mungkin memanipulasinya.

Mereka mengubah kode, mengemasnya kembali, lalu mendistribusikan versi bajakan atau yang disusupi program jahat kepada pengguna lain.

Pengaburan kode mengganti nama dan mengacak kode agar lebih sulit dibaca.

Hal ini tidak membuat rekayasa balik mustahil, tetapi memperlambat penyerang dan meningkatkan upaya yang diperlukan.

Aplikasi dapat memeriksa apakah dirinya telah dimodifikasi menggunakan pemeriksaan integritas, serta mendeteksi perangkat yang telah memperoleh akses administrator atau dibuka pembatasannya.

Jika ditemukan manipulasi, aplikasi dapat menolak menjalankan fitur-fitur sensitif.

Pelajaran utamanya: anggaplah klien dapat direkayasa balik.

Simpan rahasia dan terapkan keputusan penting di server, tempat penyerang tidak memiliki kendali.

Asumsi apakah yang paling aman saat merancang keamanan aplikasi seluler?

Penyerang merekayasa balik aplikasi menggunakan analisis statis dan dinamis, alat dekompilasi, serta alat pengaitan seperti Frida untuk menemukan rahasia dan memanipulasinya.

Gunakan pengaburan kode dan pemeriksaan integritas untuk memperlambat mereka, tetapi pada akhirnya percayai server, bukan klien.