Pasywne / Agresywne Scuttling

Oto łatwo ukryta technika, którą nazywam "scuttling", która działa w aplikacjach wdrożonych w Google i Amazon. Scuttling to wykrywanie piractwa przez aplikację. Co zrobić po wykryciu jest w dostawie twórcy aplikacji.

• Agresywne Scuttling: Np. Zakończenie i / lub alarmy w pirackiej aplikacji. Komunikacja sieciowa niekoniecznie wymagane.
• pasywne Scuttling: brak modyfikacji aplikacji. Np. Włącz śledzenie.
• pasywne / agresywne Scuttling: subtelna modyfikacja aplikacji. Np. wyłącz po cichu kluczowe funkcje. Poprowadź Pirata do myślenia, że spaprał i do niepublikowania pirackiej aplikacji.

Jeśli Twoja aplikacja została zmieniona i/lub zainstalowana z dowolnego źródła innego niż Google lub Amazon, scuttle () zwraca true.

// Dont just copy/paste this code - that is what automated crackers look for - cludge it!
// No network communication is required at runtime.
// myPackageName should decode at runtime to "com.yourpackagename"
// google        should decode at runtime to "com.android.vending";
// amazon        should decode at runtime to "com.amazon.venezia"; 

public boolean scuttle(Context context, String myPackageName, String google, String amazon)
{
  //Scallywags renamed your app?

  if (context.getPackageName().compareTo(myPackageName != 0)
    return true; // BOOM!

  //Rogues relocated your app?

  String installer = context.getPackageManager().getInstallerPackageName(myPackageName);

  if (installer == null)
    return true; // BOOM!

  if (installer.compareTo(google) != 0 && installer.compareTo(amazon) != 0)
    return true; // BOOM!

  return false; 
}

Wyniki

Poniższy zrzut ekranu został zaczerpnięty z google analytics pokazujący piracką darmowa aplikacja Od playstore (com.android.vending), który został przeprojektowany z agresywnym scuttlem (wykryto i przerwano instalację w sklepie). Dropy śledzenia nie-playstore (nie-set). Śledzenie nie było wymagane, ale włączone dla tych pomiarów.

Dyskusja

Uwaga podpisywanie usług odgrywa rolę w scuttingu: menedżer pakietów wymusza unikalne nazwy pakietów z unikalnymi podpisami.

Przedstawia pytanie, co zrobić, gdy aplikacja jest scuttled (pirat wykryty przez aplikację). Piractwo jest formą wiralizacji (niekontrolowanej dystrybucji) Twojej aplikacji. Jest już wykrywalny, umożliwiając back-end śledzenia analityki. Scuttling pozwala twórcy aplikacji dostosować odpowiedź front-end z lub bez śledzenia.

Agresywne scuttling jest oczywiście wykrywalne przez piratów (BOOM!). Zachęca to do dalszego pękania. Pasywne scuttling jest znacznie mniej oczywiste, ale może obejmować śledzenie.

Pasywne / agresywne scuttling nie wymagające komunikacji sieciowej, jak opisano powyżej, jest prawdopodobnie najlepszym rozwiązaniem. Jest łatwo ukryty (w przeciwieństwie do licencjonowania) i może być dostosowany do tego, aby był jak najbardziej nieoczywisty.

Skontaktowałem się z Google i zostałem skierowany na bardzo przydatną rozmowę o tym, jak zmienić podstawową licencję LVL. Sprawdź ten wykład z Google I/O 2011.

Najlepszą rzeczą do zrobienia jest nie martwić się o to. Ludzie piraci w Chinach nie są Twoimi klientami i nigdy nie będą. Gdyby nie była dostępna piracka wersja, nadal nie zapłaciliby ci za kopię, z dużym prawdopodobieństwem. Poza tym, jeśli Twoja aplikacja stanie się popularna, i tak zostanie sklonowana, tak jak aplikacje na iOS. Wdrożone już systemy zabezpieczeń są wszystkim, czego potrzebujesz, ponieważ uniemożliwiają większości użytkowników piractwo aplikacji.

Próba udowodnienia piractwa aplikacji będzie tylko zaszkodzić bazie kodu i utrudnić jej utrzymanie, a także potencjalnie wprowadzić problemy dla prawdziwych klientów płacących. Zamiast tego skoncentruj się na promowaniu aplikacji i ułatwianiu klientom płacenia za nią i korzystania z niej. Reagując na prośby o funkcje i raporty o błędach, dodajesz wartość, za którą ludzie są gotowi zapłacić, zamiast szukać jakiejś podejrzanej pękniętej kopii z Chińskiej strony internetowej, która prawdopodobnie i tak jest trojanem.

Na koniec zgłoś pirackie kopie sprzedawcom antywirusów. Dostarczyć kopie APK. Dodają podpisy do swoich baz danych, aby zostały oznaczone jako potencjalnie niebezpieczne.

Z analizy warunków Google market wynika, że nie można sprzedawać aplikacji bezpośrednio z własnej witryny, ponieważ narusza ona Warunki Google app market. Myślę, że wdrożenie niestandardowych zabezpieczeń w kodzie jest najlepszym sposobem. Standardowe metody po prostu nie są skuteczne, ponieważ kod można łatwo zdemontować