使用jni技术进行android应用签名信息核查及敏感信息保护

       最近业余时间写了一款应用《摇啊摇》,安智、安卓、360等几个应用商店已经陆续审核通过并上线。从有想法到最终将产品做出来并发布,断断续续花了近二个半月的业余时间,总体来讲还算顺利,虽然期间也遇到几个小技术难点,最后解决的还算满意。今天说下其中一个小技术难点,现在想想这个小技术难点也很平常,但还是分享出来,希望对有相同疑惑的同学有帮助。
       因为java语言自身特性的原因,导致android程序很容易被反编译,虽然可以采用代码混淆的方式,但是如果用了第三方库,混淆脚步编写不好,代码混淆后又会出现程序运行不稳定问题。而没有混淆的程序一旦被反编译后,源码中大量的敏感信息将会暴露无遗。比如与服务器交互的url地址信息,如果使用了动态链接库,那么native方法也将暴露,况且混淆时是不混淆native方法的。别人看到native方法,就可以自己加载so文件,那么很多核心的东西,别人就可以间接的使用了,虽然他不一定能用好,但至少可以调用了。针对上面的林林总总程序被反编译后可能出现的问题,我的解决方法是使用jni技术,在ndk环境下做包签名信息核查,由于是ndk环境,所以这个很难反编译,也很难绕过该核查。理论上,签名文件keystore是唯一的,并且只有程序作者才拥有。具体做法为,在所有的native方法内,增加签名信息核查判断,只有签名信息核查通过,程序才能做进一步操作,否则直接返回NULL,这样,即使别人拿到了so文件,摸清楚了native方法参数及用法,但由于签名信息不一致,native方法全部返回NULL,so文件瞬间变成砖头。同样,对于url地址等敏感信息,增加签名信息核查,只有核查通过,程序才会返回正确的字符串,否则直接返回NULL,这样可以很好的隐藏和保护敏感信息。说了半天,关键的一步是如何在ndk环境下,获取包签名信息,下面的代码为相关实现。
jstring loadSignature(JNIEnv* env, jobject obj)
{
	// 获得Context类
    jclass cls = (*env)->GetObjectClass(env, obj);
    // 得到getPackageManager方法的ID
    jmethodID mid = (*env)->GetMethodID(env, cls, "getPackageManager", "()Landroid/content/pm/PackageManager;");

    // 获得应用包的管理器
    jobject pm = (*env)->CallObjectMethod(env, obj, mid);

    // 得到getPackageName方法的ID
    mid = (*env)->GetMethodID(env, cls, "getPackageName", "()Ljava/lang/String;");
    // 获得当前应用包名
    jstring packageName = (jstring)(*env)->CallObjectMethod(env, obj, mid);

    // 获得PackageManager类
    cls = (*env)->GetObjectClass(env, pm);
    // 得到getPackageInfo方法的ID
    mid  = (*env)->GetMethodID(env, cls, "getPackageInfo", "(Ljava/lang/String;I)Landroid/content/pm/PackageInfo;");
    // 获得应用包的信息
    jobject packageInfo = (*env)->CallObjectMethod(env, pm, mid, packageName, 0x40); //GET_SIGNATURES = 64;
    // 获得PackageInfo 类
    cls = (*env)->GetObjectClass(env, packageInfo);
    // 获得签名数组属性的ID
    jfieldID fid = (*env)->GetFieldID(env, cls, "signatures", "[Landroid/content/pm/Signature;");
    // 得到签名数组
    jobjectArray signatures = (jobjectArray)(*env)->GetObjectField(env, packageInfo, fid);
    // 得到签名
    jobject sign = (*env)->GetObjectArrayElement(env, signatures, 0);

    // 获得Signature类
    cls = (*env)->GetObjectClass(env, sign);
    // 得到toCharsString方法的ID
    mid = (*env)->GetMethodID(env, cls, "toCharsString", "()Ljava/lang/String;");

    // 返回当前应用签名信息
    return (jstring)(*env)->CallObjectMethod(env, sign, mid);
}
       上述代码获得的包签名信息实际是一个很长的字符串,为了更高效的进行签名信息比对,还可以将其进行md5加密,加密成32位字符串形式。另外,我在查阅资料过程中,看到有的资料提到用包签名的hashcode值做比对,这种方式更简单一点,但我没有采用这种方式,总觉得这种方式可能不精确,仅仅是个人觉得,有兴趣的同学可以查阅更多相关资料。这里还要说明一点,上面代码获得的包签名字符串信息,使用md5加密后,得到的加密结果与包签名实际的md5 fingerprint是不一致的。主要是因为将签名信息使用toCharsString()转换成字符串后在进行md5加密所致,如果使用toByteArray()将其转成数组,然后加密,加密结果与包签名实际md5 fingerprint将是一致的。


郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。