Flutter安全增强插件flutter_security的使用

Flutter安全增强插件flutter_security的使用

flutter_security 是一个旨在处理移动应用安全问题的 Flutter 包。

hasBundleBeenCompromised

此功能仅在 iOS 上可用。

主要概念是检查 Frameworks（位于主 bundle 根目录）文件夹内文件的 MD5 值与预编译的 JSON 文件进行对比。

该 JSON 文件是通过以下脚本生成的： 此脚本。 建议使用 AES CBC 模式加密保护 JSON 文件。

工作流程

这是我的操作步骤：

1. 构建应用以获取所需的所有文件。
2. 将上述脚本复制到刚刚构建的 .app 文件中。这样可以生成包含相对路径的文件。
3. 使用所有必需的参数运行脚本（例如 ./msh-darwin-amd64 generate-map --files Frameworks --key some_random_key_phrase）。
4. 检查 .app 中是否生成了 encrypted.json。
5. 如需使用该包，可按以下方式使用（例如）：

final result = await FlutterSecurity.hasBundleBeenCompromised(
  iosSecurityOptions: IosSecurityOptions(
      bundleId: 'com.example.flutterSecurityExample',
      jsonFileName: 'encrypted.json',
      cryptographicKey: 'k4rAN45oL8LxH21wX2nRTDB5o1uYnnrB'),
);

然后你可以根据需要使用 result（例如，在攻击正在进行时使应用崩溃）。

amITampered

此功能结合了 IOSSecuritySuite 和一些 StackOverflow 的有用文章（这些文章的链接已丢失）用于 Android 实现。

反篡改功能检查应用程序使用的签名与你发送的作为真相来源的签名之间的匹配情况。

Android

要在 Android 上检查反篡改，你需要提供应用密钥库的 SHA-1 值。如果你处于调试模式且尚未创建密钥库，则会为你的应用分配一个 SHA。请检查你的应用级 build.gradle。

iOS

要在 iOS 上检查反篡改，需要做更多的工作。如这里所述，你需要提供 bundleId 和 mobile.provision 文件（包含在构建的 .ipa 文件中）的哈希值：

1. 解压 .ipa 文件。
2. 进入 payload 文件夹，右键点击应用并选择“显示包内容”。
3. 你应该看到名为 “test” 的 Unix 可执行文件（在这个例子中是 “test”）。

打开终端并执行以下步骤：

1. otool -l /path/to/unix/executable
2. 查找 segname __TEXT 中的 offset 和 size 值。
3. 将这两个值保存下来。
4. 运行 dd if=test.ipa ibs=1 skip=<offset> count=<size> | shasum -a 256。
5. 保存 SHA256 并在代码中使用它。

示例代码

以下是使用 flutter_security 的完整示例代码：

import 'dart:async';

import 'package:flutter/material.dart';
import 'package:flutter_security/flutter_security.dart';
import 'package:flutter_security/helpers/platform_options.dart';
import 'package:flutter_security/helpers/response_codes.dart';

void main() {
  runApp(MyApp());
}

class MyApp extends StatefulWidget {
  [@override](/user/override)
  _MyAppState createState() => _MyAppState();
}

class _MyAppState extends State<MyApp> {
  String? _amItamperedResponse = 'Let me check';

  [@override](/user/override)
  void initState() {
    super.initState();
    initPlatformState();
  }

  Future<void> initPlatformState() async {
    ResponseSecurityCodes amItampered;
    amItampered = await FlutterSecurity.amITampered(
      iosSecurityOptions: IosSecurityOptions(
          bundleId: 'com.example.flutterSecurityExample',
          mobileProvision: 'some_hash_values'),
      androidSecurityOptions: AndroidSecurityOptions(sha1: 'some_sha1_values'),
    );

    if (!mounted) return;

    await Future.delayed(Duration(seconds: 1));
    setState(() {
      switch (amItampered) {
        case ResponseSecurityCodes.tampered:
          _amItamperedResponse = 'YES!!!';
          break;
        case ResponseSecurityCodes.notTampered:
          _amItamperedResponse = 'No.';
          break;
        case ResponseSecurityCodes.genericError:
          _amItamperedResponse = 'Unable to check, something goes wrong';
          break;
        case ResponseSecurityCodes.missingParametersError:
          _amItamperedResponse = 'Missing parameters';
          break;
        case ResponseSecurityCodes.unavailable:
          _amItamperedResponse = 'Unavailable';
          break;
      }
    });
  }

  [@override](/user/override)
  Widget build(BuildContext context) {
    return MaterialApp(
      home: Scaffold(
        appBar: AppBar(
          title: const Text('插件示例应用'),
        ),
        body: Center(
          child: Column(
            children: [
              Text('我是被篡改了吗？\n$_amItamperedResponse\n'),
              ElevatedButton(
                onPressed: () async {
                  final time = DateTime.now();
                  final result = await FlutterSecurity.hasBundleBeenCompromised(
                    iosSecurityOptions: IosSecurityOptions(
                        bundleId: 'com.example.flutterSecurityExample',
                        jsonFileName: 'encrypted.json',
                        cryptographicKey: 'k4rAN45oL8LxH21wX2nRTDB5o1uYnnrB'),
                  );
                  print(
                      '总捆绑检查完成时间：${DateTime.now().difference(time).inMilliseconds}ms');
                  print(result);
                },
                child: Text('检查'),
              ),
              SizedBox(
                height: 50,
              ),
            ],
          ),
        ),
      ),
    );
  }
}