[androidbrasil-dev] Re: Sugestão de Arquitetura e Segurança

Obrigado por compartilhar sua experiência. Você tem razão, pelo que eu andei pesquisando não existe uma forma infalível de evitar a engenharia reversa. O máximo que podemos fazer é dificultar um pouco... Como tenho zero de experiência com Android, resolvi postar essa consulta ao grupo para ver se estava no rumo certo.

A suas sugestões batem o que eu venho pensado. Porém, tanto usando um servidor para armazenar os dados quanto uma solução de criptografia precisaria armazenar a chave dentro do APK. Não tenho tanto experiência com Java para usar código nativo NDK (mas não está descartada a idéia), ai que pensei no DexGuard que apesar de ter que pagar os $660 dizem que protege bem mais que o Proguard. Já usei outras ferramentas de obfuscation e fica bem mais complicado para ver o código.

Resumindo, acho que vou colocar o medo de lado e por a mão na massa logo. 

Abraços,

Fabio

Em terça-feira, 6 de janeiro de 2015 08:40:39 UTC-2, Eduardo Carrara de Araujo escreveu:

Olá Fábio,

Sempre que possível tento manter regras de negócio e dados importantes do lado do servidor. Mas se você quiser diminuir o uso de dados pela sua aplicação implementando um cache local terá que partir para uma solução de criptografia da base de dados, ainda não precisei usar nenhuma mas o SQLCypher parece bem interessante.

Em relação ao código fonte como, como você deve ter visto na própria thread que você compartilhou, você pode aumentar as barreiras mas alguém com tempo, motivição suficiente e um device com acesso root para quebrar sua app provavelmente o fará em algum momento.

Abs

Em quinta-feira, 11 de dezembro de 2014 14h42min38s UTC-2, Fabio Luiz Paranhos Borelli escreveu:

Olá!

Tenho um aplicativo iOS com SQLite e gostaria muito de migrá-los para Android. Já tive uma experiência negativa nos iOS com outro desenvolvedor copiando o conteúdo da minha base de dados (que agora está criptografada). E gostaria de evitar a engenharia reversa.

Achei o seguinte topico em outro grupo sobre como evitar engenharia reversa - mas é um pouco antigo:

https://groups.google.com/forum/#!topic/android-developers/FHHBK6IBGdM

Gostaria de pedir sugestões de arquitetura de como usar uma base de dados no Android de forma mais segura. Pode ficar em um servidor também... Sem problemas... 

Em relação ao fonte, provavelmente eu acabe comprando o DexGuard, que tem um nível de proteção de 35 comparado ao Proguard que é de 5. Então o problema de esconder as strings aparentemente ficaria resolvido.

Alguém, por favor, poderia compartilhar as experiências de como lidam com isso no Android? Base local criptografada, ou SQLCypher?  Se alguém já trabalhou com Parse.com ou com os serviços do Google na cloud.

Obrigado,

Fabio