Qual língua? Uma perspectiva de segurança

Alcance o mais alto nível de application security com linguagens de desenvolvimento que compilam em aplicativos nativos.

Quando se trata de application security, nem todas as linguagens de programação são criadas iguais. Linguagens que compilam para um formato intermediário retêm uma quantidade significativa de metadados que, se não obscurecido, pode ser engenharia reversa com ferramentas de hacking prontas para uso.

Com mais de 20 anos de Application Security, Estamos em Digital.ai sabe se você pode construir um aplicativo para rodar nativamente, os ganhos de segurança superam a flexibilidade de programas que compilam para aplicativos intermediários, bytecode ou interpretativos. Entendemos que não pode ser o caso de todos os projetos, por isso temos soluções para cobrir a maioria dos aplicativos nativos e intermediários.

Flexibilidade

Digital.ai oferece uma série de blindagem de aplicação, ofuscação e anti-adulteração técnicas para aplicativos escritos em praticamente todas as linguagens e ambientes de desenvolvimento disponíveis. Resumidamente, Digital.ai pode proteger aplicativos escritos em:

• C
• C + +
• Objective-C
• rápido
• Java
• Kotlin
• C#/Xamarin/.NET
• Flutter
• Unity
• JavaScript
• HTML5

Segurança

De um modo geral, as proteções mais profundas podem ser aplicadas ao código nativo. Aqui está o porquê:

• Algumas linguagens como C# são compiladas em um formato intermediário. Os formatos intermediários retêm uma quantidade significativa de metadados. Esses metadados podem ser usados ​​para fazer a engenharia reversa do aplicativo com mais facilidade. A proteção do aplicativo pode ofuscar esses metadados. No entanto, os aplicativos nativos não contêm esses metadados detalhados para começar, eliminando completamente a necessidade de ofuscação de metadados e, assim, reduzindo a superfície de ataque. Dessa perspectiva, os aplicativos nativos exigem menos proteções e podem ser protegidos com mais rapidez e facilidade.
• At Digital.ai entendemos que “no mundo real” não é razoável esperar que nossos clientes desenvolvam aplicativos inteiros em C/C++. Embora as partes do aplicativo que armazenam dados confidenciais devam ser escritas em idiomas nativos, a interface do usuário e as interfaces com serviços Android, por exemplo, geralmente são escritas em Java/Kotlin. Isso faz sentido e nossas proteções podem ser aplicadas a Java/Kotlin em uma extensão maior do que para linguagens de nível mais alto e ostensivamente “mais flexíveis”, como Flutter ou Xamarin.
• Ferramentas que atores de ameaças aproveitam-se, como desmontadores e descompiladores, geralmente são mais fáceis de usar com linguagens de nível superior e, portanto, fornecem um meio de ataque mais rápido e fácil.
• A descompilação de um aplicativo criado a partir de uma linguagem de plataforma cruzada geralmente produz um código muito semelhante ao código-fonte original. Para o código nativo, muitas informações são perdidas durante a compilação e geração do código de máquina. Isso significa que, mesmo quando um aplicativo está desprotegido, seu código descompilado é mais difícil de “ler” por agentes de ameaças quando é escrito em código nativo.
• Além disso, embora seja fácil desmontar o código de máquina para montagem, é difícil obter um código-fonte descompilado que se assemelhe ao código original. A aplicação de ofuscação sobre o código nativo pode até impedir completamente a descompilação.

A seguir estão exemplos de código nativo descompilado descompilado, juntamente com código nativo protegido, descompilado.

Observe quanta complexidade pode ser facilmente adicionada a um aplicativo de brinquedo simples. Multiplicar a complexidade aplicando essas transformações a aplicativos reais torna as ordens de trabalho do invasor mais difíceis.

Exemplos de linguagens de alto nível

A seguir estão exemplos de código de nível superior desprotegido, juntamente com código de nível superior protegido:

Mesmo que o código protegido seja mais complexo do que o código desprotegido, embelezadores e descompiladores podem ser usados ​​para se aproximar um pouco mais do fluxo de controle original, o que torna o trabalho do invasor um pouco mais fácil.

Conclusão

Enquanto Digital.ai pode proteger aplicativos escritos em idiomas de nível superior que compilam para código nativo, bem como idiomas que compilam para aplicativos híbridos que contêm código nativo e não nativo, as proteções mais profundas e melhores são exclusivas para aplicativos escritos em idiomas que compilam para nativo código. Se uma empresa está pensando apenas em usar idiomas que produzem aplicativos que podem apresentar as melhores proteções, consulte a hierarquia de idiomas no diagrama abaixo. O idioma escolhido deve equilibrar as necessidades e habilidades de seus desenvolvedores com a segurança exigida por seus aplicativos.

Para saber mais sobre como Digital.ai Application Security pode ajudar sua organização a cobrir aplicativos nativos e intermediários, visite nosso site do Network Development Group.