재서명된 APK를 계속 설치할 수 있는 이유와 위험이 남아 있는 이유

설치 시 브랜드 승인이 아닌 패키지의 유효성을 검사합니다.

Android는 APK 구조와 서명 일관성을 확인합니다. DEX, 리소스 또는 매니페스트를 변경한 후 공격자는 다른 인증서로 결과에 서명하고 기술적으로 완전한 패키지를 만들 수 있습니다.

시스템 승인은 공식 게시 ID를 부여하지 않습니다. 설치 확인에서는 채널이 합법적인지, 계정이 로그인할 수 있는지, 위험도가 높은 API 요청을 진행해야 하는지 여부를 결정하지 않습니다.

전체 업그레이드에는 일반적으로 서명 연속성이 필요합니다. 다른 인증서로 서명된 패키지는 단순히 공식 설치를 대체할 수 없으며 패키지 이름 변경, 제거 또는 별도 설치가 필요할 수 있습니다.

새로 설치를 테스트하고 프로덕션 버전에서 업그레이드하십시오. 설치 화면만 테스트하면 서명 연속성, 보유 데이터 및 채널 구성이 누락됩니다.

클라이언트는 패키지, 버전, 서명 및 플랫폼 무결성 신호를 제공할 수 있지만 이는 절대적인 진실은 아닙니다. 고위험 작업은 계정, 법적 버전, 장치 위험 및 요청 동작 컨텍스트를 고려하여 서버 측에서 결정되어야 합니다.

정책에는 롤아웃, 오탐지 처리, 긴급 복구도 필요합니다. 서버가 버전 및 서명 ID를 무시하는 경우 클라이언트 보호는 수정된 패키지가 실제 비즈니스 API를 호출하는 것을 중지할 수 없습니다.

모든 후보에 대한 빌드 소스, 패키지 이름, 버전, 서명 인증서 다이제스트, 파일 다이제스트 및 채널 순서를 기록합니다. 정적 검사, 설치, 업그레이드 및 비즈니스 회귀는 동일한 파일 ID를 참조해야 합니다.

재구축, 재서명 또는 채널 수정으로 새 후보가 생성됩니다. 다른 파일의 결론을 상속하는 대신 유효성 검사로 돌아가야 합니다.

Yudun이 집중적인 보호 및 호환성 검토를 권장할 수 있도록 스택, 중요 경로, 대상 시스템 및 현재 후보를 제공합니다.