Блог

У меня есть некоторые конфиденциальные данные (секретный ключ api) для хранения в приложении на стороне клиента, я знаю, что это плохая практика для хранения такого рода информации, но на данный момент нет реальных альтернатив, я уже устраняю проблемы, которые могут возникнуть в случае утечки такого ключа, но я хочу знать, безопасно ли кодирование такого ключа в сборке во время компиляции или нет, в случае декомпиляции кода, даже если он запутан, сложнее ли повторно использовать переменную времени компиляции?

Вот пример того, как я бы его использовал

 flutter build apk --dart-define=APP_VERSION=0.1.2 --dart-define=SECRET_KEY=123456
 

Это точно так же небезопасно, как и любой другой подход.

Создайте проект, в котором используется определение

(Если определение не используется, оно будет удалено, но, очевидно, вы хотите его использовать.)

 void main() {
  const String key = String.fromEnvironment('SECRET_KEY');
  print(key);
  runApp(const MyApp());
}
 

Строить

Я использую здесь «СЕКРЕТ», а не «123456», потому что в обычном APK много строк «123456», и это может дать ложный положительный результат.

 flutter build apk --dart-define=APP_VERSION=0.1.2 --dart-define=SECRET_KEY=SEKRET
 

Откройте APK

 cd build/app/outputs/flutter-apk/
mkdir app
cd app
unzip ../app-release.apk
 

Ищите секретные строки

 strings lib/x86_64/libapp.so | grep SEKRET
> SEKRET
 

Это ничем не отличается от простого жесткого кодирования строки в приложение. Нет никакой пользы в том, чтобы «скрыть» это в определении, и нет никакого способа действительно обезопасить это. Лучшее, что вы можете сделать, — запутать ситуацию и надеяться, что нападающий не очень мотивирован. Или инвестируйте в постоянные улучшения запутывания и укрепления каждый раз, когда они взламывают вашу систему. (Это очень сложно и дорого, и по своей природе не существует универсального или постоянного решения.)

Вы не можете скрыть ключ API в двоичном файле. Вы не можете скрыть ключ API, который приложение использует в памяти. Вы не можете надежно хранить секреты от кого-то, кто контролирует оборудование, на котором работает приложение, и мотивирован на то, чтобы найти эти секреты.