การทำวิศวกรรมย้อนกลับแอป

วิศวกรรมย้อนกลับคือการแยกแอปที่สร้างเสร็จแล้วออกเป็นส่วน ๆ เพื่อทำความเข้าใจการทำงานภายใน

ผู้โจมตีใช้วิธีนี้เพื่อค้นหาข้อมูลลับ ข้ามการตรวจสอบ และค้นหาช่องโหว่

แอปถูกแจกจ่ายเป็นแพ็กเกจ ได้แก่ APK บน Android หรือ IPA บน iOS

โดยพื้นฐานแล้วแพ็กเกจเหล่านี้คือไฟล์เก็บถาวรที่ผู้โจมตีสามารถแตกออกและสำรวจได้

การวิเคราะห์แบบคงที่หมายถึงการตรวจสอบแอปโดยไม่เรียกใช้แอป

ผู้โจมตีจะแตกแพ็กเกจและอ่านไฟล์ ทรัพยากร และโค้ดเพื่อเรียนรู้โครงสร้างและตรรกะของแอป

เครื่องมือสามารถเปลี่ยนโค้ดที่คอมไพล์แล้วกลับเป็นรูปแบบที่อ่านได้

บน Android เครื่องมืออย่าง jadx จะแปลงไบต์โค้ดเป็นซอร์สโค้ดลักษณะ Java ทำให้เห็นพฤติกรรมของแอป

สิ่งแรก ๆ ที่ผู้โจมตีมักค้นหาคือข้อมูลลับที่ฝังตายตัว

คีย์ API หรือ URL ที่ทิ้งไว้ในโค้ดจะมองเห็นได้ง่ายเมื่อแยกโค้ดกลับคืน ดังนั้นอย่าหวังพึ่งการซ่อนข้อมูลลับไว้ในแอป

การวิเคราะห์ขณะทำงานจะเฝ้าดูแอปในขณะที่แอปทำงาน

ผู้โจมตีสังเกตทราฟฟิกเครือข่าย หน่วยความจำ และการเรียกใช้ฟังก์ชัน เพื่อดูค่าจริงและพฤติกรรมจริง ไม่ใช่เพียงโค้ดแบบคงที่

เครื่องมืออย่าง Fridaช่วยให้ผู้โจมตีแทรกจุดดักในแอปที่กำลังทำงานและเปลี่ยนพฤติกรรมของแอปได้ทันที

ผู้โจมตีสามารถข้ามการตรวจสอบความปลอดภัยหรืออ่านค่าลับขณะที่แอปนำไปใช้งาน

หลังจากทำความเข้าใจแอปแล้ว ผู้โจมตีอาจดัดแปลงแอปนั้น

ผู้โจมตีแก้ไขโค้ด บรรจุแพ็กเกจใหม่ และแจกจ่ายเวอร์ชันที่ปลดล็อกหรือฝังโทรจันให้ผู้ใช้รายอื่น

การทำให้โค้ดอ่านยากจะเปลี่ยนชื่อและทำให้โค้ดยุ่งเหยิง เพื่อให้อ่านได้ยากขึ้น

วิธีนี้ไม่ได้ทำให้การวิเคราะห์ย้อนกลับเป็นไปไม่ได้ แต่ช่วยชะลอผู้โจมตีและเพิ่มความพยายามที่ต้องใช้

แอปสามารถตรวจสอบว่ามีการถูกแก้ไขหรือไม่ด้วย การตรวจสอบความถูกต้อง และตรวจจับอุปกรณ์ที่ผ่านการรูตหรือเจลเบรกได้

เมื่อพบการแก้ไข แอปสามารถปฏิเสธการทำงานของฟีเจอร์ที่มีความละเอียดอ่อนได้

บทเรียนสำคัญคือ ให้ถือว่าไคลเอนต์สามารถถูกวิเคราะห์ย้อนกลับได้

เก็บความลับและบังคับใช้การตัดสินใจที่สำคัญบน เซิร์ฟเวอร์ ซึ่งผู้โจมตีไม่สามารถควบคุมได้

สมมติฐานใดปลอดภัยที่สุดเมื่อออกแบบความปลอดภัยของแอปมือถือ

ผู้โจมตีวิเคราะห์ย้อนกลับแอปด้วยการวิเคราะห์แบบสถิตและแบบไดนามิก เครื่องมือถอดแยกโปรแกรม และเครื่องมือดักการทำงานอย่าง Frida เพื่อค้นหาความลับและแก้ไขแอป

ใช้ การทำให้โค้ดสับสน และการตรวจสอบความถูกต้องเพื่อชะลอผู้โจมตี แต่ท้ายที่สุดแล้วให้เชื่อถือเซิร์ฟเวอร์ ไม่ใช่ไคลเอนต์