Jeu Android continue de se faire pirater [fermé]

j'ai fait de l'apk decompiling et du piratage depuis un certain temps (pas warez, mais mods et hacks principalement sur les applications google et le cadre android, respectant toujours les politiques XDA-développeurs).

une fois que vous apprenez à lire smali, c'est presque comme lire le code java original (mais avec beaucoup plus de LOCs). Ainsi, tout code que vous ajoutez pour vérifier les clés peut être trouvé et supprimé ou remplacé. Vous n'avez même pas besoin de recompiler à chaque fois afin d'éliminer plus d'un (certaines recherches ne même si des cycles de compilation/recompilation sont nécessaires pour les trouver, il ne faut qu'une ou deux minutes pour décompiler: tout est automatisé par apktool et encore plus par apkmanager.

cela dit, je vous suggère de mettre en œuvre une sorte de tableau de notation en ligne ou similaire, et lorsque l'utilisateur regarde le tableau de notation en ligne, vous pouvez vérifier le code de hachage que vous avez mis en œuvre et de le comparer avec le gmail associé compte. De cette façon, vous pouvez signaler le piratage à google et envoyer un message méchant à l'utilisateur de la warez, en expliquant pourquoi c'est illégal.

bien sûr, un nouveau piratage pourrait être mis en œuvre pour éliminer la table de notation, mais cela réduirait l'intérêt pour les warez.

bonne chance.

mise à jour

après des recherches pour répondre à cette question: Injection de code dans APK (vraiment sur le mécanisme DRM Amazon), je peux dire un peu sur la façon dont Amazon protège les applications: il comprend des méthodes pour vérifier la validité de l'installation partout (vous pouvez voir un exemple de la façon dont ils le font dans ma réponse à cette question). Cela rendra toute tentative de hacker une application pas très difficile, mais extrêmement fastidieux. Je crois que c'est un point fort: les pirates ne voulez pas passer trop de temps à faire beaucoup les tâches répétitives: c'est pas difficile et c'est ennuyeux . Le principal défaut que je vois dans cette approche est la possibilité de pirater L'application Amazon elle-même pour toujours retourner une réponse valide, bien sûr. Mais, si vous mélangez vos vérifications de hachage actuelles avec une sorte de vérification en ligne dispersée parmi vos méthodes, je crois que les chances qu'il soit piraté peut être drastiquement réduit.

tiré de ma solution de ce post éviter apk fissuré

mettre en Œuvre votre propre licence de la bibliothèque

je vous recommande aussi de vérifier ce de Google I / O 2011 enregistrement YouTube:

Éluder les Pirates et l'Arrêt des Vampires

EDIT:

Les Notes de Présentation de l' Éluder les Pirates et l'Arrêt des Vampires

de base keypoints

• modifier la LVL
• mettre en Œuvre LVL Résistance à la fraude
• Use obfuscation
• ajouter réflexion

je sais que vous n'êtes pas vraiment dans l'obscurcissement, mais j'ai vraiment besoin de réagir à cela:

D'ici, Je ne veux pas obscurcir notre code tel que je l'ai vu s'est brisé avant. Je veux quelque chose d'un peu plus solide, et je veux aussi savoir comment le faire correctement.

ProGuard est très fiable dans mon expérience, et ce bien que j'utilise un couple de fonctionnalités avancées telles que AIDL et un certain code natif qui appelle Java méthode.. Il faut un peu de travail pour lire la documentation et faire les choses correctement, mais une fois que vous êtes là ProGuard est extrêmement fiable et optimise également votre application.

de sécurité Personnalisé/cryptographiques astuces sont bonnes, mais sans dissimulation c'est comme jeter une pierre dans l'eau, à mon humble avis.

J'ai utilisé ProGuard dans la production pendant de nombreux mois, et il fonctionne juste parfaitement.

si vous êtes dans l'apprentissage, alors lire le ProGuard manuel soigneusement, expérimenter avec elle, et inspecter ses journaux de sortie.

Chance, qu'il ya plus de programmeurs talentueux que vous (s'applique à tous les programmeurs), est de 100%. Et si c'est vrai, vous ne pouvez pas réparer le piratage. Mais vous pouvez passer autant de temps et d'efforts à faire faillite.

si vous voulez gagner de l'argent sérieux, vous devez faire des recherches sur votre groupe d'utilisateurs cibles, et la science du comportement. Vous avez besoin de faire jouer les utilisateurs qui apportent de l'argent neuf, et c'est tout.

D'ailleurs, vous avez tout faux. Les Hackers sont les membres les plus actifs de votre base d'utilisateurs, votre juste se comporter d'une manière que vous ne les aviez pas l'intention.

prenez Zynga games sur Facebook par exemple, pensez-vous que votre obtenir piraté? - Bien sûr, et environ + 100000 joueurs seulement jouer, parce que thy peut utiliser des bots, qui automatisent tout.

ayant une énorme base d'utilisateurs actifs botnet de personnes réelles, fait archiver type gamers veulent jouer le jeu - et si votre jeu, et il semble cool, puis Avarage Joe sera également voulez jouer. Si Avarage Joe joue, alors ses amis pourraient vouloir jouer, et tu ne t'en soucieras probablement pas autre chose, alors être meilleur que son/sa ami (e), tuer le temps ou avoir quelque chose à discuter. Avarage Joe amis seront probablement prêts à payer pour être mieux que Joe, mais plutôt ton aimerais investir dans quelque chose qui les rend capables d'être mieux.

en outre si la valeur réelle est de jouer le jeu gratuitement, puis les utilisateurs qui utilisent la version piratée libre, will n'aurait probablement jamais payé pour ça. Mais tu es Avarage Joes et leurs amis pourraient bien. C'est la pub la moins chère que tu puisses avoir. Si vous voulez faire de l'argent de votre grande base d'utilisateurs, alors il suffit de faire de nouvelles versions du jeu avec de petits changements aux niveaux et les graphiques.

la piraterie sera toujours un problème. En gros crackers sont mieux à jouer ce sécurité bien que L'obscurité jeu que les développeurs.

quelle question intéressante et dérangeante. :- ) Comme un exercice, vous pourriez essayer de libérer une application par Amazon; ils ont leur propre mécanisme de DRM; je me demande si cela fonctionne mieux que ProGuard...

un des éléments clés à mon avis est d'étaler le code afin qu'il ne soit pas tout en un seul endroit. Si vous avez une fonction appelée Licencechecker.checkLicense () qui récupère la licence et la vérifie, vous pouvez être sûr qu'elle sera désactivée rapidement.

le seul avantage que vous avez est que les crackers ne peuvent pas voir les commentaires de votre code (et, si vous obscurcissez, les noms de méthode/variable), donc venir avec quelque chose de bizarre. Dans l'onCreate() d'une activité, vous obtenez d'identification de licence. Dans onResume(), vous obtenez une autre valeur pour vérifier. Peut-être créer un fil et faire quelques vérifications. Et puis, un autre morceau de code non pertinent (peut-être le contrôle du joueur) pourrait prendre la valeur et le comparer et stocker le résultat quelque part. Puis trois autres morceaux de code non pertinents vérifieront tous indépendamment cette valeur et désactiveront votre application si elle ne correspond pas.

maintenant, je devrais dire d'emblée que cela peut causer des maux de tête pour vous-même - évidemment, le code encombré et méchant est plus difficile à déboguer et susceptible de causer des erreurs. Dans le pire des cas, vous créez des faux positifs dans des applications légitimement achetées.

et, bien sûr, tout peut être inversé-une fois que les pirates trouvent l'endroit où l'application est désactivée, ils retracent la valeur qui est lu à partir. Ils pourraient ensuite remonter où il est stocké, et la trace de dos..... ou, beaucoup plus facile, il suffit de désactiver la vérification finale (c'est pourquoi je recommandé 3 endroits différents, tous déclenchement retardé). La sécurité ne vaut que le maillon faible.

vous ne pourrez pas arrêter la piraterie. Votre meilleur pari est de retarder la diffusion d'une copie piratée jusqu'à ce que le battage initial sur votre application se soit calmé.

D'abord, je fais pas je me considère comme un pro dans le domaine de la sécurité de SW que ce soit, mais:

je pense qu'une chose importante est de laisser la demande dépendre dans une certaine partie(s) du contrôle de la signature. Ne le laissez pas affecter immédiatement, mais laissez-le définir quelques drapeaux ou changer certaines valeurs. plus tard, utilisez ces indicateurs, vérifiez-les, laissez leur absence/inexactitude causer une exception d'une sorte qui mettra fin à l'application peut-être. Aussi longtemps que le contrôle de signature n'est pertinent qu'à l'heure actuelle, il est facile de le contourner, de supprimer la ligne, une fois qu'elle touche plus de zones dans le code, votre application devient plus difficile (ou moins facile...) pirater. Je pense également que tous les contrôles ne devraient pas appeler la même routine pour la sanction, car cela permettra également de trouver facilement le mécanisme de protection et d'y mettre fin.

bien sûr, la sanction à prendre dans les cas de SW illégale peut varier, vous pourriez vouloir planter l'application quand il est utilisé illégalement, mais vous pouvez aussi bien le garder en marche, et envoyer seulement un message qui demande à l'utilisateur d'acheter une copie légale de l'application.

Si c'est tout ce que vous ne vouliez pas l'entendre, alors je suis désolé pour votre temps :)

utilisateurs Android vont juste avoir accepter la douleur des téléphones-maisons constants. La seule application Android sécurisée est une application Android toujours connectée.

C'est, en grande partie, en raison du refus de Google de verrouiller l'installation, comme Apple A. Sur IOS, vous devez libérer le téléphone. Sur Android, vous pouvez charger n'importe quel APK sur un stock, installation d'usine.

Gardez une partie / la plupart/tout votre contenu sur le serveur; livrez - le en morceaux; validez le licence/session sur chaque appel.

il sera incroyablement difficile d'inhiber ce genre de comportement. Tout ce qui est manipulé du côté client peut être piraté en utilisant APK decompilation et modding, en éditant la mémoire avec un logiciel tel que Game Guardian ect.

le seul moyen que je puisse voir comment se déplacer partiellement, serait de faire un jeu en ligne à la place. Ou faire traiter certaines fonctions en ligne. Ou si un cryptage anti-altération comme denuvo est disponible pour Android / iOS.