一种基于远程校验安卓软件保护方案.docVIP

一种基于远程校验安卓软件保护方案 　　摘 要： 通过加密dex文件和SO库文件的方法可以很好地保护安卓平台软件的安全性，但是将密钥信息保留在本地文件又将留下安全隐患。为解决这一问题，本文提出不将关键信息硬编码于程序中，而是置于远程服务器，通过与远程服务通信进行关键信息的确认，从而达到保护安卓软件的目的。试验结果表明，该方法可以有效地保护安卓软件的安全性，具有较高的可靠性 关键词： 安卓软件安全； 远程校验； 加壳技术； 软件加密； AES算法 中图分类号：TP393 文献标志码：A 文章编号：1006-8228（2017）05-30-04 An Android software protection scheme based on remote verification Zhang Jianxin （College of software，North university of China， Taiyuan， Shanxi 030051， China） Abstract： Encrypting DEX files and SO library files can be a good way to protect the security of Android software， but the key information will remain in the local file and will leave a security risk. In order to solve this problem， this paper proposes that the key information is not hard coded in the program， but is placed on the remote server， and the critical information is confirmed by communicating with the remote service， to achieve the purpose of protecting Android software. The experimental results show that this method can effectively protect the security of Android software and has high reliability. Key words： Android software security； remote verification； packer technology； software encryption； AES algorithm 0 引言 安卓系?y占据了智能终端市场接近90%占有率[1]，它的开源和内核的可移植性，既可以吸引爱好者的关注也给不法分子留下了机会。攻击者可以利用各种手段对原始应用进行破解和篡改，随着越来越多的受害者出现，人们开始重视安卓平台应用软件的保护 文献[2]阐述了安卓各个层面的细节和攻击方法。文献[3-4]通过自定义加载的方法实现在内存中加载核心代码（SMC代码字修改）。文献[5]在设计安卓代码保护方案时将MVC的概念引入到方案的设计中。文献[6-8]提出的代码保护方法都主要依赖于加密和加壳技术。文献[9]是比较有代表性的一种方案，它通过AES加密算法加密DEX文件并将解密功能放到“傀儡class”文件中来增强其保密信息的安全性。但是上述方案在加密算法的选择或者密钥信息的保护方面都有漏洞。所以本文采用了一种文件保护和和远程校验相结合的安卓软件保护方案 1 方案设计思路 本文提出一种基于远程校验的安卓软件保护方案，同时也用到了关键文件变形和加密的技术 在apk包的所有文件中，最重要的是classes.dex文件。了解smali语法的人可以通过反编译和静态分析技术来破解软件。除了dex文件之外 SO文件也是攻击的目标之一，本文对SO文件也进行相应的处理 对dex文件和so文件进行变形和加密，这样对关键文件进行保护，具体的功能模块示意图如图1 加密模块通过AES算法加密需要保护的文件，并取得需要保护的信息部署到远程服务器，然后再重新打包；解密模块执行的时候通过壳程序调用远程服务器上的固定方法完成完整性校验，然后返回密钥信息对文件进行解密，再执行正常流程。本方案采用的方法虽然会在远程通信中耗费一定的资源，主要是对网络传输的要求比较高，但其他方面都能做到用最少的资源最大限度地增加软件的安全性 2 关键技术阐述 保护方案主要技术点包括dex文件保护技术、SO文件保护技术和远程