RASP Android
RASP no Android: proteção que roda dentro do app
O que é a autoproteção em tempo de execução no Android, o que ela detecta e como adotá-la sem atrapalhar usuários reais.
Resposta curta
RASP (runtime application self-protection, ou autoproteção em tempo de execução) é um código dentro do app que confere, enquanto ele roda, se o aparelho e o próprio app são confiáveis: root, emuladores, depuradores, frameworks de hooking e cópias modificadas. Uma política decide a resposta, de só registrar até encerrar a sessão. Ela aumenta o custo do ataque; não torna o app impossível de atacar.
Por que apps Android precisam disso
Qualquer pessoa pode baixar um APK, abrir, modificar e instalar de novo. Num celular com root ou com uma ferramenta de instrumentação conectada, o atacante lê a memória, pula verificações e muda o que o app envia. As regras do seu servidor só veem as requisições que chegam, não o aparelho que as gerou.
O que o RASP verifica
As verificações olham o ambiente (root, emulador, estado inseguro do aparelho), a instrumentação (Frida, Xposed, funções com hook), a depuração (depurador conectado, rastreamento do processo) e a integridade (assinatura, código modificado, cópias reassinadas). Cada sinal sozinho é fraco; vários juntos dão um veredito útil.
Como adotar com segurança
Comece em modo monitorar: o app informa o que teria feito e não bloqueia nada. Veja os eventos reais da sua base instalada e depois passe cada detecção para avisar, bloquear ou encerrar a sessão, uma de cada vez. Junte as verificações em tempo de execução com o endurecimento do build (ofuscação), para que as próprias verificações fiquem mais difíceis de achar e remover.
O que dizem as fontes
O OWASP MASVS-RESILIENCE-1 pede que o app valide a integridade da plataforma em que roda, e o MASVS-RESILIENCE-4, que implemente técnicas contra análise dinâmica.
Fonte · conferido em
O Frida, ferramenta usada para inspecionar e alterar apps enquanto rodam, se descreve como um kit de instrumentação dinâmica de código.
Fonte · conferido em
A Play Integrity API do Google devolve vereditos sobre o aparelho, o app e a conta, que o backend pode conferir junto com os sinais do próprio app.
Fonte · conferido em
O que a Moatgator faz
O Runtime detecta root, emuladores, Frida, Xposed, depuradores e adulteração dentro do app.
Fonte · conferido em
A resposta de cada detecção fica no moatgator.yml: monitorar, avisar, bloquear ou encerrar a sessão, e toda detecção começa em modo monitorar.
Fonte · conferido em
O Shield ofusca o app compilado no seu pipeline e o devolve sem assinatura, então suas chaves de assinatura ficam com você.
Fonte · conferido em
O plano grátis inclui cinco detecções nos modos monitorar e avisar.
Fonte · conferido em
Onde termina
Nenhuma verificação sozinha é prova, e um atacante determinado e com tempo consegue contornar verificações no cliente. O RASP compra sinal e tempo; para as ações que movimentam dinheiro, junte com verificação no servidor (Attest ou Play Integrity).
Perguntas frequentes
RASP é a mesma coisa que ofuscação?
Não. A ofuscação deixa o código mais difícil de ler antes de rodar; o RASP verifica o ambiente enquanto roda. Use os dois juntos: a ofuscação também esconde as verificações do RASP.
O RASP vai bloquear usuários legítimos?
Pode, se você bloquear cedo demais. Por isso as detecções devem começar em modo monitorar, para você ver o impacto real antes de bloquear qualquer coisa.
Preciso mudar meu código-fonte?
Com a Moatgator, não. A proteção entra no app compilado, no seu pipeline de build, e a política fica no moatgator.yml.
Funciona no iOS?
A Moatgator atende Android e iOS (beta). Este guia trata do Android.
Veja como está o seu app
Envie um APK, AAB ou IPA para o Scan grátis e receba uma nota, sem cadastro.