Scopri le nozioni di base di SafetyNet Attestation e comprendi in che modo SafetyNet Attestation protegge le app e quali sono i loro limiti?
In questo mondo iperconnesso di dispositivi digitali, siamo prigionieri di applicazioni interessanti, utili e divertenti che guidano le nostre giornate attraverso le notti. Queste applicazioni sono parte integrante del nostro modo di operare. La necessità, così come il desiderio, di queste app è in continua crescita, così come lo sono gli sforzi della comunità di sviluppatori Android per creare applicazioni impeccabili, affidabili, facili da usare e sicure che funzionino senza problemi sui dispositivi Android. , aggiungendo valore per l'utente finale.
Man mano che il mondo Android diventa sempre più grande, la minaccia imminente di attacchi ai dispositivi Android aumenta. Queste minacce sono imprevedibili, volatili e possono non solo danneggiare le operazioni del dispositivo ma anche ostacolare le prestazioni delle app sul dispositivo, sviluppate scrupolosamente dagli sviluppatori Android di tutto il mondo. Una compromissione di queste app rende inoltre accessibili i dati vulnerabili associati all'app, creando una situazione indesiderabile sviluppatori di app così come gli utenti.
Per rispondere a questa grave necessità di un controllo di sicurezza per ciascun dispositivo che tenta di eseguire un'app, Google ha introdotto l'attestazione SafetyNet.
Cos'è l'attestazione SafetyNet?
SafetyNet Attestation è un'API antiabuso che offre la possibilità di testare e convalidare l'integrità del dispositivo che sta tentando di eseguire l'applicazione. Quando l'API SafetyNet Attestation è inclusa come parte del sistema di rilevamento degli abusi di qualsiasi app, aiuta a determinare se i server dell'app interagiscono con un'applicazione autentica su un dispositivo Android autentico. Aiuta a rilevare il rooting del dispositivo e a valutare l'integrità generale del dispositivo.
L'attestazione SafetyNet aiuta a tenere sotto controllo l'ecosistema Android, garantendo agli sviluppatori di app che le loro applicazioni siano in esecuzione su un dispositivo affidabile. Utilizzando l'attestazione SafetyNet, gli sviluppatori di app Android può ottenere informazioni dettagliate sul dispositivo, se il suo sistema operativo è in uno stato manomesso (come definito da Google) o se la sicurezza del dispositivo è stata compromessa e può intraprendere azioni preventive contro abusi e comportamenti scorretti.
L'attestazione SafetyNet mitiga la necessità di sviluppare e reimplementare controlli di sicurezza codificati che possono essere aggirati e il rilevamento di root/manomissione è semplice e infallibile. L'attestazione SafetyNet aiuta a determinare l'integrità complessiva del dispositivo.
Insieme alle API, SafetyNet nel suo complesso fornisce una serie di servizi che garantiscono la protezione delle app contro minacce alla sicurezza quali URL non validi, applicazioni dannose, manomissioni dei dispositivi e utenti falsi. Aiuto aziende di sviluppo di app mantenere l'integrità sia dell'applicazione che del dispositivo, essenzialmente proteggere i dati critici all'interno dell'app e del dispositivo.
Come funziona l'attestazione SafetyNet?
L'API di attestazione SafetyNet estende un'attestazione crittograficamente firmata che valuta e valuta l'integrità del dispositivo su cui è in esecuzione l'app. Esamina l'ambiente software e hardware del dispositivo, cerca problemi di integrità, li confronta con i dati di riferimento forniti per i dispositivi approvati da Android e genera un report dei risultati per l'app. Gli sviluppatori che sfruttano alternative agli strumenti di codifica delle vibrazioni Possono automatizzare ulteriormente tali procedure di convalida e test all'interno delle loro pipeline CI/CD. Questa attestazione è vincolata a un nonce fornito dall'app che richiede l'attestazione SafetyNet e contiene anche un timestamp di generazione e i metadati associati dell'applicazione in questione.
Scopriamo come funziona l'attestazione SafetyNet per un'app che valuta l'integrità di un dispositivo:
Passo # 1: Quando il dispositivo tenta di eseguire l'applicazione, l'APU SafetyNet Attestation riceve una chiamata dall'applicazione con un nonce.
Passo # 2: Il servizio SafetyNet Attestation esamina l'ambiente runtime del dispositivo e richiede un'attestazione firmata della valutazione dai server di Google.
Passo # 3: I server di Google hanno inviato l'attestazione firmata al servizio SafetyNet Attestation sul dispositivo.
Passo # 4: Questa attestazione firmata viene restituita all'app.
Passo # 5: Questa attestazione firmata viene inoltrata al tuo server dall'app.
Passo # 6: Il server valida la risposta e la utilizza per determinare la decisione antiabuso, comunicandola all'app.
Passo # 7: L'app può quindi determinare se deve essere considerata attendibile ed essere eseguita sul dispositivo.
Attestato SafetyNet: alcuni malintesi comuni
Sebbene l'API SafetyNet Attestation aiuti ad automatizzare un controllo di sicurezza e integrità sui dispositivi Android che eseguono un'applicazione, non è un rilevatore di abusi autonomo o una funzionalità di sicurezza delle app ma deve essere utilizzata con una suite di sicurezza delle app antiabuso specifica per il prodotto . Funziona solo quando il dispositivo è connesso a Internet. Quando non è connesso a Internet, l'API restituisce un errore. Non fornisce un segnale dettagliato sulle modifiche del sistema ma estende una panoramica dell'integrità del sistema con valori booleani. Pertanto non contiene controlli specifici dell'applicazione. Sebbene sia essenziale disporre dell'API SafetyNet Attestation, non può fungere da sostituto dei controlli DRM.
Come proteggere la tua applicazione con l'API SafetyNet Attestation?
- Ottieni una chiave API
- Richiedi la quota desiderata per l'assegnazione
- Assicurati che sul dispositivo dell'utente sia installata la versione corretta dei servizi Google Play
- Ottieni un nonce
- Richiedi un attestato SafetyNet.
- Trasferisci la risposta al tuo server.
- Verifica la risposta sul tuo server, con gli altri segnali antiabuso e controlla il comportamento dell'app.
API di attestazione SafetyNet: le limitazioni
Affinché funzioni correttamente ed estenda i risultati desiderati, l'API di attestazione SafetyNet deve essere implementata in modo appropriato, considerando i potenziali bypass. Ci sono molte ambiguità e discussioni sulla possibilità o meno di aggirare SafetyNet. Sarà comunque difficile e costoso, ma la possibilità di un bypass non potrà mai essere completamente eliminata. Gli sviluppatori di app devono quindi assicurarsi di aver previsto tali situazioni impreviste presupponendo che l'attestazione fallirà in determinati scenari e creare un ambiente per gestire tali incidenze.
Si consiglia vivamente di includere l'attestazione SafetyNet nella strategia antiabuso di un'applicazione. Si consiglia alle aziende che implementano una strategia di mobilità per i dispositivi Android di farlo scegli un provider MDM che include l'attestazione SafetyNet. Scalefusion gestione dei dispositivi mobili Include l'attestazione SafetyNet durante la valutazione dell'iscrizione alle policy sui dispositivi BYO, garantendo la sicurezza end-to-end dei dati aziendali critici sui dispositivi di proprietà dei dipendenti. Questa valutazione verifica l'integrità e la sicurezza del dispositivo per l'esecuzione e la manutenzione delle app aziendali critiche.
