APK Kırılması Hakkında

merhaba değerli hocalarım. mobil programlama üzerinde çalışırken aklıma bişey geldi. Ben uygulamamda web servisi ile api yardımıyla mobil uygulamamı haberleştiriyorum. Uygulamanın içinde apikey değeri var. Bu değere ulaşılırsa web servisinde de rahatlıkla işlemler yapılabiliyor. Sorum şu: apk kırılarak bu sabit değerlere ulaşılma ihtimali var mı? yada apk kırılarak web servisinin adresi okunabilir mi? yada uygulamanın hangi siteye gittiğini kırılmadan da bulunulabilir mi?

Auth olmadan apk içinde sakın public olmayan bilgileri (api key password vb.) bulundurma maximum 5 dk'lık bir süreç sonucunda bu bilgilerine ulaşabilirler. Hatta apk nı zip ten çıkarmak bile buna bazen yetebilir. Hangi siteye gittiği kırılmasa bile wireshark vb. ile bulunabilir.

isterseniz bana gönderin apk'yı . test edeyim.

Çoğu uygulama basit yöntemde api bilgilerine erişiyor. Bu konuda sıkıntı büyük böyle düşündüğünüzde

Ekstra uygulamalar kullanmaya gerek yok, apk'yı kırmayada gerek yok macos terminalinde 2 kelimelik bir sorguyla bulunabilir.

Kodlarınızı shrink yapın yoksa kırarlar

Code obfuscate ya da shrink raw stringleri saklamaz yine okunur api key vs, şifrelenerek saklanabilir + proguard acıp kodu obfuscate edersen decrypt'i zorlaşır ya da firebase remote configten vs çekebilirsin api key'i

Siz ne yaparsanız yapın uygulamadan sunucunuza HTTP isteği gidecek, Fiddler ile api keye erişmek yalnızca 2 dk'lık iş. Bundan dolayı yapmanız gereken şey api keyi sunucuya göndermek yerine bu işlemleri sunucu tarafında yapmak.

peki hocam auth kurulumuna bakacağım teşekkür ederim

hocam şuanda geliştirme aşamasındayım bitince deneyelim

bunun önüne geçmek için aklıma farklı bişey geldi hocam. android id sini şifreleyip get olarak göndersem ve daha sonrasında token verirken android id sine göre versem olabilir ama http isteklerini yakalanabiliyor denildi. doğal olarak buda patlıyor

hocam örnek sorgu paylaşabilir misiniz. linux terminalde işler mi?

araştıracağım hocam teşekkür ederim

tamam hocam mutlaka araştıracağım

hocam bir site düşünün örnek olarak hava durumu bilgileri. bunun bilgilerini api ile json formatında paylaşıyorum. mobil uygulamada o bilgileri çekiyor. amacım sadece benim uygulamamda çalışması ve dışardan erişelemez olması. mesela farklı uygulamada ulaşamayacak. aklıma android idlerini veritabanına kaydetme geldi fakat istek gideceği için erişmek kolay dediniz. bunun önüne nasıl geçebilirim