御盾包括的な VMP ハードニングが推奨されない理由
ビジネス資産、攻撃者の ROI、実行頻度、影響範囲（ブラスト・ラジオス）、リリース候補の受諾という 5 つの次元で VMP 保護のスコープを定義します。実用的な設定と回帰テスト戦略を含みます。
商用アプリを強化し、コアコードを保護する
Yudun は、コード難読化、Java2C、DEX/SO 保護、および VMP を使用して商用 Android および iOS アプリを強化します。コア アルゴリズム、承認ロジック、重要なビジネス パスの保護に重点を置き、リバース エンジニアリングとコード再利用のコストを高め、実際の候補ビルドでのパフォーマンスと互換性を検証します。
これらの問題がアプリの妨げになっていますか?
- コアアルゴリズムは、逆コンパイル後も簡単に見つけて再利用できます。
- ブランケット保護により、起動や頻繁に使用されるフローが遅くなります
- 強化されたビルドはクラッシュしますが、責任のあるポリシーを誰も分離できません
- すべてのリリースには、古い互換性の問題が再発するリスクがあります
ユドゥンはそれらにどう対処するか
高価値機能用の VMP
最もコストのかかるポリシーをアプリ全体に適用するのではなく、アルゴリズム、承認、プロトコル、資格の保護に重点を置きます。
階層化されたコード保護
プロジェクトに応じて、VMP、Java2C、DEX/SO 保護と難読化を、各レイヤーの明確なジョブと組み合わせます。
候補の互換性テスト
構成プレビューではなく、実際の成果物で起動、重要なフロー、クラッシュ、パフォーマンス、およびターゲット システムをテストします。
公開評価: DEX および ELF を取得しても、それ自体ではコア アルゴリズムは回復しませんでした
Yudun Android 候補の 4 段階の評価により、プログラム構造、呼び出し関係、アルゴリズムの等価性から回復可能な内容が分離されました。
評価全文を読む評価によって明らかになったもの
- 標準リカバリ、より詳細なリカバリ、二次逆コンパイル、ネイティブ マッピング、およびアルゴリズムの等価性を確認しました。
- DEX、ELF、ローディングチェーン、コアアルゴリズムの関係を調査しました
- 各レベルが実際に何を回復したか、どの結論が未解決のままかを記録
範囲: これは 1 つの候補の編集された評価であり、すべてのアプリ、バージョン、または攻撃条件に対する普遍的な結果ではありません。
査定から納品まで
配送方法を見る- 01
アセットを選択してください
回復するとビジネス損失が発生するアルゴリズム、認可、プロトコル パスを特定します。
- 02
PoC を構築する
実際のビルド チェーンでスコープを構成し、比較可能な回復可能な候補を保持します。
- 03
スコープを受け入れる
配信前に、同じ候補に対してパフォーマンス、互換性、クリティカル フロー回帰を実行します。
購入前の質問
VMP はアプリケーション全体を保護する必要がありますか?
通常はそうではありません。攻撃者にとって明確な価値を持つコードと、独立してテストできるパスを優先します。
VMP は難読化とどう違うのですか?
難読化により、名前、構造、または制御フローの読みやすさが変わります。 VMP は、選択されたコードの実行表現を、異なる受け入れコストでさらに変更します。
VMP はアプリケーションを破壊不可能にしますか?
いいえ、分析と再利用のコストが増加します。結果は依然として実装、範囲、実行時の条件、サーバー側のポリシーに依存します。
VMP の前にチームは何を準備する必要がありますか?
機能を選択する前に、候補ビルド、クリティカル パス、パフォーマンス ベースライン、互換性範囲、ロールバック バージョンを準備します。
セキュリティ標準とプラットフォームのリファレンス
- OWASP MASVS
モバイルアプリケーションのセキュリティ管理と検証範囲
- Android security best practices
Android アプリケーションのセキュリティ設計とリリースの境界
- Apple Platform Security
Apple プラットフォームのコード署名とランタイム セキュリティ コンテキスト
- Android app signing
ID の署名、アップグレードの継続性、リリースの整合性
- Play Integrity API
サーバー側の決定とアプリケーション整合性信号の制限