Temukan dasar-dasar Pengesahan SafetyNet dan pahami bagaimana Pengesahan SafetyNet mengamankan aplikasi, apa saja batasannya?
Di dunia perangkat digital yang sangat terhubung ini, kita terpikat oleh aplikasi-aplikasi menarik, berguna, dan menghibur yang menemani hari-hari kita sepanjang malam. Aplikasi ini merupakan bagian integral dari cara kami menjalankan bisnis. Kebutuhan, serta keinginan akan aplikasi-aplikasi ini, semakin meningkat, begitu pula upaya komunitas pengembang Android - untuk menciptakan aplikasi yang sempurna, dapat diandalkan, mudah digunakan, dan aman yang berfungsi dengan lancar di perangkat Android. , menambah nilai bagi pengguna akhir.
Ketika dunia Android semakin besar dan luas, ancaman serangan terhadap perangkat Android semakin besar. Ancaman ini tidak dapat diprediksi, mudah berubah, dan tidak hanya dapat merusak pengoperasian perangkat namun juga menghambat kinerja aplikasi pada perangkat, yang dengan susah payah dikembangkan oleh pengembang Android di seluruh dunia. Kompromi terhadap aplikasi ini juga membuka data rentan yang terkait dengan aplikasi tersebut, sehingga menimbulkan situasi yang tidak diinginkan pengembang aplikasi serta pengguna.
Untuk mengatasi kebutuhan besar akan pemeriksaan keamanan untuk setiap perangkat yang mencoba menjalankan aplikasi, Google memperkenalkan Pengesahan SafetyNet.
Apa itu Pengesahan SafetyNet?
Pengesahan SafetyNet adalah API anti-penyalahgunaan yang menawarkan kemampuan untuk menguji dan memvalidasi integritas perangkat yang mencoba menjalankan aplikasi. Jika SafetyNet Attestation API disertakan sebagai bagian dari sistem deteksi penyalahgunaan aplikasi, hal ini membantu dalam menentukan apakah server aplikasi berinteraksi dengan aplikasi asli di perangkat Android asli. Ini membantu dalam mendeteksi rooting perangkat serta menilai integritas perangkat secara keseluruhan.
Pengesahan SafetyNet membantu menjaga ekosistem Android, memastikan pengembang aplikasi bahwa aplikasi mereka berjalan pada perangkat yang andal. Menggunakan Pengesahan SafetyNet, para pengembang aplikasi Android dapat memperoleh wawasan tentang perangkat, apakah OS-nya dalam keadaan rusak (seperti yang didefinisikan oleh Google) atau keamanan perangkat telah disusupi dan dapat mengambil tindakan pencegahan terhadap penyalahgunaan dan perilaku buruk.
Pengesahan SafetyNet mengurangi kebutuhan untuk mengembangkan dan menerapkan kembali pemeriksaan keamanan berkode keras yang dapat dilewati dan deteksi root/perambahan menjadi mudah dan tidak pernah gagal. Pengesahan SafetyNet membantu menentukan integritas perangkat secara keseluruhan.
Bersama dengan API, SafetyNet secara keseluruhan menyediakan serangkaian layanan yang memastikan perlindungan aplikasi terhadap ancaman keamanan seperti URL yang buruk, aplikasi berbahaya, gangguan perangkat, dan pengguna palsu. perusahaan pengembangan aplikasi menjaga integritas aplikasi dan perangkat, pada dasarnya mengamankan data penting dalam aplikasi dan perangkat.
Bagaimana cara kerja Pengesahan SafetyNet?
SafetyNet Attestation API memperluas atestasi bertanda kriptografi yang menilai dan mengevaluasi integritas perangkat tempat aplikasi berjalan. API ini memeriksa lingkungan perangkat lunak dan perangkat keras perangkat, mencari masalah integritas, mencocokkannya dengan data referensi yang disediakan untuk perangkat yang disetujui oleh Android, dan menghasilkan laporan temuannya ke aplikasi. Para pengembang memanfaatkan alternatif untuk alat pengkodean vibe dapat mengotomatiskan lebih lanjut prosedur validasi dan pengujian tersebut dalam alur kerja CI/CD mereka. Pengesahan ini terikat pada nonce yang disediakan oleh aplikasi yang meminta Pengesahan SafetyNet dan juga berisi stempel waktu pembuatan dan metadata terkait dari aplikasi tersebut.
Mari kita pelajari cara kerja Pengesahan SafetyNet untuk aplikasi yang menilai integritas perangkat:
Langkah # 1: Saat perangkat mencoba menjalankan aplikasi Anda, APU Pengesahan SafetyNet menerima panggilan dari aplikasi dengan nonce.
Langkah # 2: Layanan Pengesahan SafetyNet memeriksa lingkungan waktu proses perangkat dan meminta pengesahan evaluasi yang ditandatangani dari server Google.
Langkah # 3: Server Google mengirimkan pengesahan yang ditandatangani ke layanan Pengesahan SafetyNet di perangkat.
Langkah # 4: Pengesahan yang ditandatangani ini dikembalikan ke aplikasi.
Langkah # 5: Pengesahan yang ditandatangani ini diteruskan ke server Anda oleh aplikasi.
Langkah # 6: Server memvalidasi respons dan menggunakannya untuk menentukan keputusan anti-penyalahgunaan, mengomunikasikan hal yang sama ke aplikasi.
Langkah # 7: Aplikasi kemudian dapat menentukan apakah aplikasi tersebut harus dipercaya dan dijalankan di perangkat.
Pengesahan SafetyNet: Beberapa Kesalahpahaman Umum
Meskipun SafetyNet Attestation API membantu mengotomatiskan pemeriksaan keamanan dan integritas pada perangkat Android yang menjalankan aplikasi, API ini bukanlah pendeteksi penyalahgunaan atau fitur keamanan aplikasi yang berdiri sendiri, namun harus digunakan dengan rangkaian keamanan aplikasi anti-penyalahgunaan khusus produk yang sesuai. . Ini hanya berfungsi ketika perangkat terhubung ke internet. Ketika tidak terhubung ke internet, API mengembalikan kesalahan. Ini tidak memberikan sinyal terperinci tentang modifikasi sistem tetapi memperluas gambaran integritas sistem dengan nilai boolean. Oleh karena itu, ini tidak berisi pemeriksaan khusus aplikasi. Meskipun penting untuk memiliki SafetyNet Attestation API, API ini tidak dapat berfungsi sebagai pengganti pemeriksaan DRM.
Bagaimana cara mengamankan aplikasi Anda dengan SafetyNet Attestation API?
- Dapatkan kunci API
- Minta kuota penjatahan yang diinginkan
- Pastikan versi layanan Google Play yang benar telah diinstal pada perangkat pengguna
- Dapatkan nonce
- Minta pengesahan SafetyNet.
- Transfer respons ke server Anda.
- Verifikasi respons di server Anda, dengan sinyal anti-penyalahgunaan lainnya dan kendalikan perilaku aplikasi.
API Pengesahan SafetyNet: Keterbatasannya
Agar dapat berfungsi dengan baik dan memberikan hasil yang diinginkan, SafetyNet Attestation API perlu diterapkan dengan tepat, dengan mempertimbangkan potensi bypass. Ada banyak ambiguitas dan diskusi mengenai apakah SafetyNet dapat dilewati atau tidak. Meskipun demikian hal ini akan sulit dan mahal, namun kemungkinan adanya jalan pintas tidak akan pernah bisa sepenuhnya dihilangkan. Oleh karena itu, pengembang aplikasi perlu memastikan bahwa mereka telah menyediakan situasi yang tidak terduga dengan asumsi pengesahan akan gagal dalam skenario tertentu dan menciptakan lingkungan untuk menangani insiden tersebut.
Pengesahan SafetyNet sangat disarankan untuk disertakan dalam strategi anti-penyalahgunaan aplikasi. Perusahaan yang menerapkan strategi mobilitas untuk perangkat Android disarankan untuk melakukan hal ini pilih penyedia MDM yang mencakup Pengesahan SafetyNet. Scalefusion manajemen perangkat seluler Melibatkan Pengesahan SafetyNet saat menilai pendaftaran kebijakan pada perangkat BYO, memastikan keamanan menyeluruh terhadap data perusahaan yang penting pada perangkat milik karyawan. Penilaian ini memeriksa integritas dan keamanan perangkat untuk menjalankan dan memelihara aplikasi kerja yang penting.
