Библиотека проверки лицензии Android и подписание приложения

Почему библиотека проверки лицензии Android не проверяет подпись приложения?

шаги:

  1. Создайте APK с помощью OBB.
  2. Загрузите APK и OBB в консоль Google Play для выпуска Alpha.
  3. Отмените APK и установите его локально (без загрузки в Google Play).
  4. Запустите приложение.

Если вы правильно настроили учетную запись альфа-теста, отказавшийся apk успешно загрузит OBB из Google Play. (Я использую библиотеку Downloader, которая использует LVL)

ИМО, для LVL легко сравнить сертификат APK с "истинным" сертификатом.

Источник

1 ответ

Google LVL не основан на подписывании приложения, потому что для получения подписи потребуется код, выполняемый на клиенте для получения подписи приложения, и по своей природе этот код может быть изменен злоумышленником.

Вместо этого он проверяет, приобрел ли пользователь приложение на стороне сервера Google, используя хранилище на стороне сервера Google того, получал ли пользователь приложение из Google Play (где его нельзя атаковать).

Цель LVL - позволить (платным) приложениям увидеть, были ли они приобретены в Play, а не обнаружить изменения. Если вы хотите обнаружить изменения в своем приложении, вам лучше использовать API аттестации Google SafetyNet

Источник
Другие вопросы по тегам