轻量级加固安全不打折 数字盾甲iOS应用加固技术“守正出奇”

原创
移动开发 Android
数字联盟 iOS加固技术产品团队接受了51CTO的专访,整个过程围绕应用加固技术的演变、业界常用iOS应用加固方法的不足及采用二进制研发的iOS应用加固产品“数字盾甲”展开。

【51CTO.com原创稿件】依托智能手机规模化应用,促使移动互联网得到长足的发展,进而各种功能丰富的APP走进我们的生活,带来便捷的同时,App加固也成为刚需。有效的加固,可避免被破解、盗版、二次打包、注入、反编译等风险,提升App的安全性、稳定性。当下,仍有人觉得iOS代码不用做加固,是因为苹果系统的封闭性导致iOS系统下的 App安全性相对较高。但是实际上iOS应用本身被破解的难度并不高,不管个人开发者还是大厂皆有保护代码安全的需求。

近日,数字联盟iOS加固技术产品团队接受了51CTO的专访,整个过程围绕应用加固技术的演变、业界常用iOS应用加固方法的不足及采用二进制研发的iOS应用加固产品“数字盾甲”展开。

应用加固技术的演变

应用加固技术并不是新兴技术,在移动互联网兴起前就已经存在,主要作用是防止PC端应用被破解或盗取。软件开发商为了保护版权,会选择各种方式,保护自己的软件。密钥常见的应用加固技术,起初仅由软件承载,后续又与硬相件结合,进行校验和认证,旨在增强加固力度。

随着智能手机渗透、安卓系统日益趋近成熟,App开发大军也逐渐庞大起来,主要分为两大流派:iOS系统 和Android系统,分别对应 .ipa 和 .apk文件格式。XcodeGhost事件发生后,人们开始对App的安全倍加重视。从开发角度来说,源代码安全问题是基于代码审计层次而决定的;从软件保护角度来说,解决App的安全问题则是对源代码的代码混淆、资源加密和逻辑加固等;从用户角度说,那就是App本身的安全性,是否会对个人隐私财产造成损失,是否是值得信赖的第三方平台。

安卓端应用批量涌现,对应的加固技术也如雨后春笋随之而生。出现这样的现象主要有两个原因,其一:庞大的用户群体。其二:编程手段过于上层。也就是安卓端兴起之前,软件破解通常使用C2、C++等编译性语言,得到二进制的结果后,造假分子去破解应用的难度相对较大。安卓端最初就选择Java语言做上层应用的开发,Java语言拥有标准化、高透明度的特点,所以安全性自然就会相对下降。造假者很容易便可了解到应用开发者的自检码、虚拟机等规范,破解难度较低。

安卓领域的加固技术经历关键的几次迭代:

  • 改变原始代码,躲避初级分析;
  • 在内存中加载代码;
  • 创建虚拟的CPU或虚拟机,把标准官方指令,变成开发者自己私有化的指令,进而增加造假者分析和造假的难度。

业界常见iOS应用加固技术的不足

用户对App技术的核心诉求是无论采用何种手段,只要保证在不影响产品功能的前提下,提高被分析和调试难度即可。

[[254401]]

张宇平·数字联盟CTO

数字联盟CTO张宇平表示,安卓端的加固市场经过多年的演变已经趋近成熟,但市面上还缺乏有效的iOS应用加固技术。在推广数字联盟反作弊技术产品“可信ID”的过程中发现,很多客户也有iOS应用加固的需求。

那么,传统的iOS应用加固技术有哪些不足呢?传统的iOS应用加固方式一般是通过编译器混淆程序代码,将有效信息淹没到各种无效信息中,干扰造假分析人员的视线。但加密方式大幅度增加代码体积的同时,还需要将应用的代码提供给第三方加固机构,再借助编译器去做混淆。对于客户而言,需要承担源代码泄露的风险。在加密/隐藏/混淆程序代码的过程中,应用包如果过大,会影响用户体验和下载意愿。

数字盾甲iOS应用加固技术“守正出奇”

目前看来,移动端的加固技术基本和PC端的发展轨迹雷同,从Windows平台加壳脱壳、反调试和反反调试到Andriod平台.apk加固、反调试代码混淆和加强壳。Windows平台下,ring3到ring0层的反调试技术已经非常成熟。相对于.ipa加固,.apk加固做的相对较好,业界已经有很多成型的App加固方案。

数字盾甲iOS应用加固技术“守正出奇”,沿用了PC端高难度的二进制加固技术的同时,给iOS应用加壳,既避免应用被盗版的风险,也防止黑客反编译进而保护核心业务逻辑。此项技术还融入了高级反调试和字符串混淆等技术,进一步保护应用不被调试器分析,防止 IDA Pro 等工具通过关键字定位破解核心代码逻辑。

据悉,使用数字盾甲 iOS应用加固技术后,原始App体积增加量不会超过1M,加固力度不会受到影响,可谓是“轻量级加固安全不打折”。对这项技术的需求主要体现在付费应用、企业应用、内有交易功能的应用和注重知识产权,以及珍视自己心血的各类中小开发者所开发的应用上。

当问及数字联盟 iOS加固技术未来的突破方向,数字盾甲iOS应用加固技术团队表示,将在代码虚拟化和其他资源(图片/声音)保护等方面做进一步研发。目前,数字联盟的App加固技术还没有应用于安卓平台,主要是因为安卓平台过于复杂,系统版本多、设备种类多。核心技术完备的情况下,兼容性方面也需要花费大量的时间去进行适配,安卓平台会稍晚上线。

【51CTO原创稿件,合作站点转载请注明原文作者和出处为51CTO.com】

 

责任编辑:王雪燕 来源: 51CTO
相关推荐

2017-03-08 16:00:20

VM Encrypti安全性能

2022-06-06 16:07:30

数据白皮书智能

2018-09-10 17:18:14

iOS安全应用加固iOS加固技术

2012-08-01 09:12:46

2017-03-17 17:33:38

互联网

2021-08-12 10:31:59

MySQL安全方法

2009-10-14 09:46:18

2010-03-08 11:25:33

2021-08-05 10:21:18

NSAKubernetes安全

2021-08-26 10:05:31

APP安全加密网络攻击

2009-11-17 15:00:03

2023-12-21 20:53:15

2013-07-15 10:39:43

2024-03-20 15:25:43

2010-11-24 14:15:00

2013-12-16 17:35:14

2011-03-23 14:49:27

LAMP安全apache

2022-04-26 10:13:02

API漏洞安全

2009-02-07 09:59:54

foxmail加密安全

2016-07-05 09:53:57

点赞
收藏

51CTO技术栈公众号