Обратная разработка приложений

Обратная разработка — это разбор готового приложения, чтобы понять, как оно устроено внутри.

Злоумышленники используют её, чтобы находить секреты, обходить проверки и обнаруживать уязвимости.

Приложения распространяются в виде пакетов: APK на Android или IPA на iOS.

По сути, это архивы, которые злоумышленник может распаковать и изучить.

Статический анализ означает изучение приложения без его запуска.

Злоумышленники распаковывают пакет и читают его файлы, ресурсы и код, чтобы понять его структуру и логику.

Инструменты могут преобразовать скомпилированный код обратно в читабельный вид.

На Android такой инструмент, как jadx, преобразует байт-код в исходный код, похожий на Java, и показывает, как работает приложение.

Одно из первых мест, где злоумышленники ищут секреты, — это секреты, зашитые в коде.

Ключи API или адреса, оставленные в коде, легко заметить после декомпиляции, поэтому никогда не рассчитывайте скрыть секреты внутри приложения.

Динамический анализ наблюдает за приложением во время его работы.

Злоумышленники изучают сетевой обмен данными, память и вызовы функций, чтобы увидеть реальные значения и поведение, а не только статический код.

Инструменты вроде Frida позволяют злоумышленнику подключиться к работающему приложению и изменять его поведение на лету.

Он может пропустить проверку безопасности или прочитать секретное значение в момент его использования.

Изучив приложение, злоумышленник может изменить его.

Он изменяет код, перепаковывает приложение и распространяет взломанную версию или версию со встроенным вредоносным кодом среди других пользователей.

Запутывание кода переименовывает и перемешивает его, чтобы код было сложнее читать.

Это не делает обратную разработку невозможной, но замедляет злоумышленников и увеличивает необходимые затраты.

Приложения могут проверять, не подвергались ли они изменениям, с помощью проверок целостности, а также обнаруживать устройства с правами суперпользователя или после джейлбрейка.

Если обнаружено вмешательство, приложение может отказаться запускать конфиденциальные функции.

Главный вывод: всегда исходите из того, что клиент можно проанализировать с помощью обратной разработки.

Храните секреты и принимайте критически важные решения на сервере, который атакующий не может контролировать.

Какое предположение является самым безопасным при проектировании защиты мобильного приложения?

Атакующие анализируют приложения статически и динамически, используют декомпиляторы и инструменты перехвата вызовов, например Frida, чтобы находить секреты и вносить изменения.

Используйте обфускацию и проверки целостности, чтобы замедлить их, но в конечном счёте доверяйте серверу, а не клиенту.