[zakopywywacz]

Mam takie pytanie z dziedziny bezpieczeństwa. Otóż problem wygląda tak: jest gra na Androida, posiada ranking lokalny, który się synchronizuje z globalnym i jest wysyłany do Google Play Games. Jeśli ktoś ma roota to może wyciągnąć sobie bazę i zmodyfikować ją. Następnie wstrzyknąć do aplikacji i zrobić synchronizację i wysłać oszukany wynik. Czy to co pisze to fantazja czy jest to możliwe? Zabezpieczenie bazy hasłem jest też rozwiązaniem zgubnym, bo to hasło trzeba gdzieś trzymać, więc i tak jeśli komuś będzie zależało to dojdzie do tego.

#android #sqlite #protection #bezpieczenstwo #programowanie

[GrabkaMan]

@zakopywywacz: wystarczy zwykły program do edycji numerków w grach. :)

[MacDada]

@zakopywywacz: Tak, użytkownik może to zrobić i nie jesteś w stanie się przed tym zabezpieczyć, co najwyżej możesz utrudnić manipulacje lub próbować je wykrywać na podstawie nieprawdopodobnych wyników.

[japer]

@zakopywywacz: szyfrowanie twoim bogiem

[MacDada]

@japer: szyfrowanie nic nie da, bo klucz musi być zapisany w aplikacji, więc użytkownik może go sobie wyciągnąć.

[zakopywywacz]

@MacDada: tak właśnie myślałem, więc sucho. Chcesz być dodany do rankingu globalnego - musisz być online. Słabe rozwiązanie

[japer]

@MacDada: używanie sqlite i bezpieczeństwo,

ja bym do bazy dodał jakiś wynik funkcji skrótu i porównać ją z lokalnie przypisaną w aplikacji

[MacDada]

nic nie da, bo klucz musi być zapisany w aplikacji

@japer: j.w.

[MacDada]

W RR3 gracz może jeździć offline, wyniki są zapisywane, a potem wysyłane na serwer przy pierwszej okazji. No i ludzie manipulują.

Jeśli ktoś jest na tyle głupi, żeby ustawić sobie 100% przejścia gry na koncie, które ma jeden dzień, to łatwo to wykryć. Ale jeśli zmiany są niewielkie, to nie da rady – pozostaje tylko monitorowanie działania aplikacji na żywo, a rynek gier PC pokazuje, że i tak większość systemów antybotowych jest

[kemek]

@zakopywywacz: A to działa na roocie: http://developer.android.com/guide/topics/data/data-storage.html#filesInternal ?

[zakopywywacz]

@kemek: to nie jest rozwiązaniem niestety.

@MacDada: tak mi się wydawało, że w RR3 dużo osób czituje...

[kemek]

@zakopywywacz: To zapewne zostaje jakieś security by obscurity. ;) Razem z wynikiem trzymasz jego hash posolony datą, nazwą playera i czymś tam. No i przy przesyłaniu sprawdzasz. Liczysz, że nikt nie wykryje, jak posoliłeś. ;>