Root и хукинг
Защита от root и хукинга
Как устройства с root и фреймворки для хукинга используют против приложений, через которые проходят деньги, и что может сделать приложение.
Короткий ответ
Root даёт полный контроль над операционной системой; фреймворки для хукинга, такие как Frida и Xposed, переписывают поведение приложения во время работы. Чтобы защититься от обоих, приложение сочетает несколько обнаружений (следы root, инструментирование, перехваченные функции, изменённый код), определяет реакцию политикой и подтверждает чувствительные действия на сервере.
Что меняет root
На устройстве с root защиты операционной системы больше не действуют: другие приложения и инструменты могут читать файлы и память вашего приложения и менять его поведение. Многие опытные пользователи получают root по законным причинам, поэтому root — это сигнал, а не вердикт.
Что делает хукинг
Фреймворк для хукинга перехватывает функции внутри вашего процесса: может заставить проверку вернуть «истину», прочитать токен до шифрования или сменить получателя перевода. Он работает на устройствах с root и — с внедрённым gadget — в перепакованных копиях приложения.
Как реагировать
Обнаруживайте несколько сигналов, а не один. Начните с журналирования, затем предупреждайте или запрашивайте дополнительную аутентификацию и блокируйте только важные действия, например платежи. Держите решение в проверенной политике и подтверждайте чувствительные действия вердиктом, который может проверить сервер.
Что говорят источники
Frida описывает себя как набор средств динамического инструментирования кода — именно эта возможность используется для перехвата функций работающего приложения.
Источник · проверено
OWASP MASVS-RESILIENCE-2 требует, чтобы приложение применяло механизмы защиты от модификации.
Источник · проверено
Вердикт устройства в Play Integrity показывает, соответствует ли устройство базовой, полной или строгой целостности, что помогает серверу оценить окружение.
Источник · проверено
Что делает Moatgator
Runtime обнаруживает признаки root и jailbreak, Frida server и gadget, Xposed и похожие фреймворки, а также перехваченные системные функции.
Источник · проверено
У каждого обнаружения своя реакция в moatgator.yml, и все они начинаются в режиме наблюдения.
Источник · проверено
Attest опирается на Play Integrity и добавляет сигналы Runtime от Moatgator в один вердикт, который проверяет ваш бэкенд.
Источник · проверено
Где границы
Обнаружение root и хукинга — это гонка: инструменты меняются, а некоторые прячутся от проверок. Ни одно обнаружение не идеально, поэтому Runtime сочетает несколько сигналов и работает вместе с Shield и проверкой на сервере.
Часто задаваемые вопросы
Блокировать ли все устройства с root?
Обычно нет. Root — это сигнал; многие пользователи получают его по законным причинам. Блокируйте чувствительные действия, а не всё приложение, и сначала посмотрите на данные.
Можно ли обнаружить Frida?
Frida server, gadget и перехваченные функции оставляют следы, которые приложение может обнаружить. Ни одна из этих проверок не идеальна сама по себе, поэтому сочетайте несколько.
А если Magisk скрывает root?
Инструменты, скрывающие root, обходят простые проверки. Сочетайте сигналы устройства с вердиктом, который проверяется на сервере, например Play Integrity, — его устройство не может просто подделать.
Замедляет ли обнаружение приложение?
У проверок есть накладные расходы. Измерьте их в своём приложении и выберите, какие обнаружения запускать и как часто.
Узнайте, как защищено ваше приложение
Загрузите APK, AAB или IPA в бесплатный Scan и получите оценку без регистрации.