乐趣区

关于flutter:Flutter-保护你的APP数据安全

jiezi

原文

https://medium.com/@mohammadE…

参考

  • https://www.guardsquare.com/e…
  • https://www.freecodecamp.org/…
  • https://www.freecodecamp.org/…

注释

目前，大多数应用程序都蕴含领取或存储一些重要的集体数据，这减少了数据被攻击者利用或裸露的危险。

在这篇文章中，我将议论最无效的做法，以尽量减少 Flutter 应用程序中任何安全漏洞的危险，并设置尽可能多的路障，以任何攻击者的形式。当然，这并不能保障你的应用程序是 100% 平安的。

让咱们开始

爱护通信层

https://www.guardsquare.com/e…

当攻击者锁定一个应用程序时，首先要做的事件之一就是查看他们是否 能拦挡在应用程序和服务器后端之间传递的任何数据 。

1- 采纳高度加密:

您能够通过应用 SSL 和 TLS 等协定来实现这一点，这些协定很容易增加到您的代码中，并且很难斗争。

如果您正在解决特地敏感的数据，您甚至可能须要更进一步，在应用程序中构建一个相似 vpn 的解决方案。

2- 限度网络流量

将网络流量或连贯限度到不平安端点的一种办法是显式地将域名列为白名单。

要做到这一点，在 flutter 应用程序，咱们须要为每个平台做一些步骤:

android :

go to the android folder and create this file under

进入 android 文件夹，创立上面的文件 

res/xml/network_security_config.xml

而后复制这个并将其增加到创立的 xml 文件中:

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">YOURDOMAIN.com</domain>
        <trust-anchors>
            <certificates src="@raw/YOURCERTIFICATE"/>
        </trust-anchors>
    </domain-config>
</network-security-config>

for ios:

add this to the info.plist file:

把这个增加到 info.plist 文件:

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSAllowsArbitraryLoads</key>
  <false/>
  <key>NSExceptionDomains</key>
  <dict>
    <key>YOURDOMAIN.com</key>
    <dict>
      <key>NSIncludesSubdomains</key>
      <true/>
      <key>NSExceptionAllowsInsecureHTTPLoads</key>
      <true/>
    </dict>
  </dict>
</dict>

而后用你的服务器域名替换 YOURDOMAIN.com。

这样做将确保您的应用程序不被容许与任何其余域通信。

3- 认可证书

SSL pinning 解决了 MITM (Man In The Middle) 攻打。

怎么做到的？

在简略的语言中，您将从后端开发人员取得一个服务器证书文件，并将证书钉在每个 API 调用中。因而，HTTP 客户端将把这个证书作为一个可信赖的证书。当初，如果呈现了 MITM，并且应用程序失去了一些谬误的证书，那么因为握手谬误，API 调用将被中断。

所以让咱们实现这个 Flutter :

最有可能的证书缩短将是。“.cef”然而这个扩大在 flutter 中不可读，所以咱们须要将其转换为“.pem”应用这个命令。

_openssl x509 -inform der -in_ Certificate_.cer -out_ Certificate_.pem_

证书是您能够本人应用的文件名。

而后将证书作为资产增加到 pubspec.yaml。

当初应用 Dio 包，咱们能够管理应用程序中的所有申请:

final dio = Dio(); ByteData bytes = await rootBundle.load('assets/Certificate.pem');
(dio.httpClientAdapter as DefaultHttpClientAdapter).onHttpClientCreate  = (client) {SecurityContext sc = SecurityContext();
  sc.setTrustedCertificatesBytes(bytes.buffer.asUint8List());
  HttpClient httpClient = HttpClient(context: sc);
  return httpClient;
};

在这段代码中，咱们从资产中读取证书，并将其作为可信证书增加到 dio 实例的 http 客户端。

当初，当应用这个 dio 实例向另一个服务器收回任何申请时，因为服务器的证书有效，咱们将失去一个握手谬误。

4- 使身份认证刀枪不入

除了你的应用程序的数据流，下一个最常见的攻打载体是它的认证办法的任何弱点。

因而，与服务器进行双因素身份验证是必要的，也是值得实现的。

除此之外，你还须要留神如何解决像钥匙替换这样的事件。至多，您应该应用加密来保障这些事务的平安。

  • 到目前为止，咱们曾经尽力爱护与服务器的传输层。

当初咱们开始爱护利用自身。

爱护申请

根本理解 Android app. Source — Pranay Airan.

1- 含糊编码

编译后的二进制文件和应用程序的代码能够被逆向设计。能够公开的内容包含字符串、办法和类名以及 API 键。这些数据要么是原始模式，要么是纯文本模式。

  • 你能够做的是应用 --obfuscate 参数时，建设您的 apk。
flutter build appbundle --obfuscate --split-debug-info=/<directory>

从外乡的角度来说，你须要通过以下形式来解决这个问题:

android

在 /android/app/build.gradle 文件中，增加以下内容:

android {
    ...
    buildTypes {
        release {
            signingConfig signingConfigs.release
            minifyEnabled true
            useProguard true
            proguardFiles getDefaultProguardFile('proguard-android.txt'), 'proguard-rules.pro'
        }
    }
}

在 /android/app/proguard-rules.pro 中创立一个 ProGuard 配置文件:

# Flutter
-keep class io.flutter.app. {*;}
-keep class io.flutter.plugin.  {*;}
-keep class io.flutter.util.  {*;}
-keep class io.flutter.view.  {*;}
-keep class io.flutter.  {*;}
-keep class io.flutter.plugins.  {*;}

应用 ProGuard，它不仅能够含糊你的代码，还能够帮忙你放大 Android 应用程序的大小。

iOS

如果你应用 Objective-C 或 Swift 来编译 iOS，编译器会去掉这些符号并对你的代码进行优化，这就使得攻击者很难读取你的代码的编译输入。

还有一些付费工具能够帮忙你含糊代码: iXGuard 和 Vermatrix.

2- 越狱和植根设施

越狱的 iOS 和安卓设施有更多的特权，可能会给用户的设施带来恶意软件，从而绕过设施的失常运行。

flutter_jailbreak_detection 是一个软件包，它能够帮忙你检测你的利用是否正在一个越狱或根植的设施上运行,

它在 Android 上应用 RootBeer on Android, and DTTJailbreakDetection，在 iOS 上应用 DTTJailbreakDetection。

而且很容易应用:

import 'package:flutter_jailbreak_detection/flutter_jailbreak_detection.dart';

bool jailbroken = await FlutterJailbreakDetection.jailbroken;
bool developerMode = await FlutterJailbreakDetection.developerMode; _// android only._

https://pub.dev/packages/flut…

3- 爱护用户材料

为了存储敏感的用户数据，你不应该应用共享首选项或 sqflite，因为它很容易在任何设施上关上，因为你须要对存储的数据进行加密，你能够应用 flutter_secure_storage。

https://pub.dev/packages/flut…

这个软件包应用了 Android 的 Keystore 和 iOS 的 Keychains。

还值得设置一个周期性工夫，以便主动革除过期的数据缓存。

4. 应用本地身份验证

假如用户手机被盗，并且您的应用程序曾经装置在手机上，并且它有一些领取信息:)

为了避免任何拜访您的应用程序，您应该应用生物特色辨认认证应用此软件包。

https://pub.dev/packages/loca…

5- 背景快拍预防

当一个应用程序被背景化时，操作系统会获取工作切换器中最初一个可见状态的快照。因而，避免后盾快照捕捉到账户余额和付款细节是十分须要的。

用这个 secure_application 包就能解决这个问题

https://pub.dev/packages/secu…

他的插件容许你爱护你的应用程序内容不被点击查看。

总结

最终，作为一个开发人员，这就是所有人对你的要求。

我还想提到“如何爱护您的 Flutter 应用程序?”是挪动应用程序开发者在求职面试中最常见的问题，所以我心愿这将是有用的。

© 猫哥

  • https://ducafecat.tech/
  • https://github.com/ducafecat
  • 微信群 ducafecat
  • b 站 https://space.bilibili.com/40…
退出移动版