難読化していないAndroidアプリケーションは脆弱性か

このエントリでは、Androidアプリケーションにおいて、難読化が施されていない場合、脆弱性にあたるかについて議論します。 はじめに Androidアプリケーションは主にJava言語で記述され、DEX形式のファイルにコンパイルされたコードを、DalvikというJava互換VM上で実行します。DEXおよびAPKファイルの仕様は公開されており、DEXにはクラスやメソッド等のシンボル名も含まれているため、リバースエンジニアリングが容易であると言われています。このため、Android SDKには標準でProGuardという難読化ツールが添付されています。 それでは、難読化の目的はそもそも何で、難読化でその目的は達成されるのでしょうか。 難読化の目的 Webアプリケーションの場合は、重要なロジックは主にサーバー側に存在するため、ソースコードを外部から取得することはできません。これに対して、スマートフ

[hiboma]

"「まるで難読化されたような」読むのが嫌になるソースコードに出くわすこともしばしばですので、プログラムの下手な人に依頼すると思わぬ効果があるかもしれません（冗談です）。" 斜め上の雇用機会

[koroharo]

リバースされるとやばいコードを見極める必要があるってことがそもそも認識されてないと思うんだよな。闇雲に難読化って言ってる人が多いんじゃないか。

[nna774]

“手動難読化も、ソースコード診断をしていると「まるで難読化されたような」読むのが嫌になるソースコードに出くわすこともしばしばですので、下手な人に依頼すると思わぬ効果があるかもしれません（冗談です）。”

[W53SA]

“難読化が破られリバースエンジニアリングされた場合でも、影響が受容可能であるように設計する”

[sugimori]

難読化かー。

[wasai]

あとで読んでおきます

[t-murachi]

「手動難読化とは私の造語ですが、プログラムロジックを故意に複雑にすることで、リバースエンジニアリングの邪魔をすること」<なんか別なセキュリティリスクが介在しそうで厭だ (^_^;

[security_check]

徳丸浩の日記: 難読化していないAndroidアプリケーションは脆弱性か

[saka39]

“一般には脆弱性とは言えず、アプリケーション要件である”

[atsushieno]

わたしもそう思う。

[shimooka]

『見せたくないなら「持たせない」が鉄則』

[MinazukiBakera]

「ソースコード診断をしていると「まるで難読化されたような」読むのが嫌になるソースコードに出くわすこともしばしばですので、プログラムの下手な人に依頼すると思わぬ効果があるかもしれません（冗談です）。」

[invent]

徳丸浩の日記: 難読化していないAndroidアプリケーションは脆弱性か

[gfx]

"リバースエンジニアリングによって、大量の個人情報が漏洩するような設計はダメ"

[ockeghem]

日記書いた