随着移动互联网工业蓬勃生长，APP在企业中饰演了越来越重要的角色。有资料显示，2014年，谷歌PlayStore的应用数量到达了143万，首次凌驾AppleStore的121万。而亚马逊商店的应用数量也到达了39.3万，排名第三�？杉�，越来越多的企业己经通过APP应用实现企业业务逻辑、核心经营业务逻辑等部署，完成了从PC向手机PAD等智能移动设备的迁移。移动办公、移动交易己经成为企业必须部署的新方式。


1、配景和需求


据不完全统计，2013年至2016年企业APP开发市场规模将突破百亿人民币。企业APP给各大企业带来很大的经济效益的同时，核心的APP宁静方面不容忽视。很多企业发现自己开发的APP被仿冒，被二次打包，甚至被加载恶意代码在安卓市场上分发，为企业的信誉形象带来不行估量的损失。同时针对金融，支付等敏感APP的钓鱼、注入、窃取等攻击也层出不穷，为企业的移动化，互联网化生长蒙上了阴影。

如何保障企业的APP不被破解、山寨、钓鱼或恶意利用，是每个向移动互联网进军的企业都要考虑的重要宁静因素。为此东森平台推出的天镜移动应用宁静检测加固系统，旨在针对移动应用的宁静提供检测加固一体化的产物和服务，解决企业在移动化，互联网化上遇到的宁静问题。


2、解决方案


2.1总体设计


为了保障移动应用的宁静性，东森平台公司针对移动应用使用特点进行了大量的研究，针对移动应用系统（APP及其服务后台系统）完整生命周期中遇到的各项风险进行评估，对可能遇到的攻击手段进行预测，并以此构建了一套完善的宁静防护体系，�；ひ贫τ肁PP的宁静及移动业务系统的宁静。在依据“互联网+”行动计划的建设思想下，东森平台充实利用先进的技术资源，提供对移动应用全生命周期的宁静管控，制止企业数据泄露，制止移动应用被黑客攻击插入恶意广告、图片等，制止用户被手机病毒或被盗版应用欺骗、攻击，保障终端用户的宁静，使这些移动应用更好的服务于各个层面的用户群。


在移动应用的全生命周期过程中，对移动应用法式进行宁静管理、检测加固及监控，增加防逆向破解、防盗版、内存敏感数据防窃取等宁静加固措施手段，以提高移动应用的宁静水平，到达满足移动应用对法式性能和宁静强度的要求。移动应用宁静防护需要从移动应用全生命周期各阶段进行，包罗设计开发、测试、上线、运维，每个阶段都需要接纳相应的宁静防护措施，整体过程如下图：


东森·(中国区)官方网站



2.2移动应用宁静服务


2.2.1宁静检测


东森平台公司提供的宁静检测服务包罗自动化检测工具和人工检测服务，其中人工检测服务凭据检测深度分为通例检测、专家级逆向分析与漏洞挖掘。


2.2.2宁静加固


移动应用宁静加固服务是在宁静检测服务的技术上，对移动应用的脆弱性、业务宁静风险、内容宁静问题以及缺陷漏洞等问题进行整改加固的服务。对已经开发设计完成的APP进行技术处置，使其具备更强宁静防护能力的过程。宁静加固主要针对AndroidAPP进行，广义的说iOS宁静编译器及配套服务也可以称为iOSAPP宁静加固。东森平台公司提供的APP宁静加固服务方案同时支持Android和iOS两大主流移动操作系统的APP，并提供多样化的配套服务。


应用宁静测试服务


东森平台公司可以对外提供的测试服务种类：


lAPP系统兼容性与设备适配性测试，以下简称兼容性测试


lAPP运行性能测试，以下简称性能测试


lAPP运行稳定性测试，以下简称稳定性测试


lAPP功效有效性测试，以下简称功效有效性测试


对测试服务有更高要求的客户，东森平台公司可提供特别的增值测试服务。一方面增加测试服务的频次，另一方面可以增加测试的项目，支持客户指定测试用例以及对原包（开发完成后未加固的APP）做完整的兼容性、性能、稳定性、功效有效性测试。


2.2.3移动应用渠道监测


渠道监控服务是东森平台公司针对目前国内AndroidAPP宣布渠道过多，市场宣布渠道APP来源不确定的特点而提供的监测服务。主要监测市场宣布渠道中泛起盗版、破解、钓鱼、仿冒等情况，同时提供监测预警、渠道风险评估、盗版APP下架等服务。


2.2.4移动态势感知


移动态势感知主要是通过数据分析套件产物实现，产物致力于构建立体式的移动应用态势泛起方式，接纳大数据信息收罗、用户行为分析匹配及建模、机器学习算法研究等尖端技术，对当前的设备环境进行严格而全面的监控排查，保证其运行环境的宁静性；量化用户的日常操作行为，为开发者完善APP功效及深入挖掘潜能提供有效参考；形象描绘用户及相关群体，为开发者的后续服务及市场定位提供准确的指导。


2.2.5应急保障服务


运营阶段APP在上线果然宣布后，任何使用者都可以随意下载，这其中就包罗APP最大的宁静威胁来源黑客和黑产从业者。APP开发设计的初衷是为了解决实际的业务问题，然而黑客和逆向破解者并不会以正常用户的方式来使用APP，而是想尽一切措施找出APP的风险和漏洞，并加以利用到达从中获利的目的。APP在运营阶段通�；嵩獾饺缦碌暮诳凸セ鳎悍幢嘁敕治觥⒐πЦ亩笤诵小⒍未虬涟嫘肌⒛嫦蚍治龊诵囊滴衤呒⒍魇怨ぞ摺⒃诵惺备亩σ滴袷荨⑼ㄑ蹲グ治觥⑼芽枪セ鳌⒎旅暗鲇愕�。东森平台公司提供运营阶段介入的宁静产物可针对以上各项风险进行防护，有效提升APP在运营阶段的宁静防护品级。


3、服务收益


3.1产物价值


移动应用宁静全产物解决方案针对移动应用现有未来业务中可能存在的宁静风险进行了详细的分析，并针对所可能泛起的风险，提供修复建议及方案，使移动宁静应用形成闭环，资助客户在移动应用设计、开发、上线、运营等环节中进行有效的宁静防范，提升客户移动应用宁静体系的整体宁静，使移动应用合规、合法、可靠、可信。


3.2技术优势


3.2.1特有的动态APP宁静检测引擎


东森平台自主研发的动态APP宁静检测引擎包罗动态运行分析及服务端渗透测试两个测试功效。通过以上检测手段，能够到达针对APP的客户端宁静性、敏感信息�；せ坪推渌矫娴哪步腥轿坏哪膊馐缘哪康�。


3.2.2高宁静性的漫衍式加解密技术


提供类多重�；ぜ际�，通过静态先抽取DEX中code段，而且加密抽取出的code段，形成被抽闲�；さ腄EX文件；动态内存解密、加载、动态回填、运行加密后DEX文件的�；し绞�，这种�；し绞街浦沽讼低成闪偈钡腄EX缓存文件，而且有效的屏蔽逆向破解者通过静态反汇编阅读代码指令的可能，而且也在一定水平上防止了内存dump。


3.2.3独占的MMS融合技术


so融合方式可以融合两个或者多个so合并为一个so文件，使得壳代码以so的形式融合到行方的so中，而且可以实现用高级语言书写壳代码的功效。如果客户有技术基础，只需遵循东森平台的接口协议，即可自行定制书写so壳代码，因客户自行书写壳代码的实现逻辑，更利于壳代码自身的宁静性，东森平台只卖力so融合。


算法加密库深度定制，有开发能力的客户可以凭据自己的需要定制书写加解密算法，只需遵循东森平台的接口协议。实现算法逻辑及秘钥是掌握在客户手中的，东森平台只卖力融合。


3.2.4高兼容性的宁静加固技术


DEX的这种加固方式，经过实际大量数据测试表明，对apk整体的兼容性可以保证，而且支持大多数杂牌机和深度定制的机型，android系统版本包罗2.3~6.0