Proguard로 안드로이드 소스코드 난독화

안드로이드 앱의 보안 중요성

안드로이드 앱을 빌드하면 aab

apk 파일로 만들어 진다. 이들은 단순히 우리가 작성한 코드들의 압축에 불과하다. 따라서 apk의 압축을 풀면 우리가 작성한 코드의 내부가 모두 보인다. 안드로이드 스튜디오에서 보면 아래와같이 모두 보이는것을 알 수 있다.

만약 이 상태로 앱을 출시한다면 앱의 리버스 엔지니어링이 가능하는 뜻이며, 누군가 우리의 코드를 베껴 새로운 앱을 낼 수도 있다는 이야기이다.

따라서 우리는 우리의 앱 구조를 파악하지 못하게 할 장치가 필요하다.

난독화 적용 방법

zippu/android/app/build.gradle에 들어가서 buildTypes 확인

 android {
 ...
    buildTypes {
            debug {
                signingConfig signingConfigs.debug
                minifyEnabled true
                proguardFiles getDefaultProguardFile("proguard-android-optimize.txt"), "proguard-rules.pro"

            }
            release {
                signingConfig signingConfigs.release
                minifyEnabled enableProguardInReleaseBuilds
                proguardFiles getDefaultProguardFile("proguard-android-optimize.txt"), "proguard-rules.pro"
            }
        }
...
}

shrinkResources

불필요한 리소스 제거. 파일 사이즈 감소.

minifiyEnabled = true

클래스 명과 함수명들이 모두 a,b,c등으로 바뀌게 된다.

이로 인해 클래스명이나 함수명을 알 수 없어 모든 코드 구조를 알지 않는 이상 리버스 엔지니어링이 거의 불가능해진다.

소스 난독화의 동작에 관여하는 속성이 아니라, 앱의 패키징 시 사용하지 않는 리소스를 자동으로 제거할지 말지를 결정하는 것이다. 단독으로 사용되지 않으며 shrinkResources속성과 함께 사용

proguardFiles getDefualtProjuardFile을 사용해서 기본 프로가드 설정

프로가드를 사용/미사용으로 설정

enableProguardInReleaseBuilds

코드 난독화에 필요한 proguard 활성화.

코드 난독화와 동시에 코드사이즈를 줄여주어 용량이 감소.

cd android && ./gradlew app:assembleRelease --stacktrace

예외처리

proguard

난독화가 되면 안되는 클래스들은 proguard에 정의해서 난독화 방지가 가능하다.

1. keep 문 추가

(1) 패키지에 속한 모든 클래스와 함수들의 난독화 방지.

-keep class * extends com.google.gson.TypeAdapter
-keep class com.google.googlesignin.** { *; }

(2) interface 난독화 미처리

-keep interface *{
    <methods>;
    <fields>;
}

(3) 소스파일의 라인은 섞지 않음

섞으면 stacktrace에서 라인추적이 불가능.

-keepattributes SourceFile,LineNumberTable

(4) 소스파일의 변수명 변경

-renamesourcefileattribute SourceFile

1. @Keep annotation: 개별클래스의 난독화 방지

@Keep
data class KotlinWorld(val blogName: String)

참고 자료

R8을 이용해 안드로이드 앱을 최적화하고 코드 유출 방지하기 : minifyEnabled, shrinkResource, proguard

Android Proguard

Android aab(앱 번들) 용량이 150MB가 넘을 때 해결법 (shrinkResources와 minifyEnabled를 쓰지않고)

React Native 보안편 소스코드 난독화 - Android

ProGuard를 통한 안드로이드 애플리케이션의 난독화

Proguard로 안드로이드 소스코드 난독화 하기

GitHub - lugg/react-native-config: Bring some 12 factor love to your mobile apps!