Hardcoding Issues - Part 1

Hardcoding Sensitive Information within Android APK a Security Risk

Pendahuluan

Seringkali developer melakukan kesalahan dengan menyimpan informasi sensitif pada source code aplikasi seperti: password, PIN, token, informasi internal development, dan sebagainya. Baik dilakukan secara sengaja maupun tidak disengaja untuk mempermudah developer dalam menyimpan informasi sensitif pada aplikasi.

Reverse Engineering adalah proses untuk mendapatkan kembali source code dari binari yang telah dikompilasi seperti APK. Jadi dengan melakukan reverse engineering kita bisa mendapatkan source code (tidak 100%) dari binari aplikasi tersebut.

Untuk mempelajari lebih lanjut tentang reverse engineering, Anda bisa membaca artikel dari yohan.es.

Penyelesaian

Tampilan Soal Hardcoding Issues - Part 1

Bagian aplikasi yang akan kita bahas kali ini memiliki fitur validasi vendor key untuk mendapatkan akses.

Kita akan mencoba mencari vendor key yang valid dengan melakukan reversing engineering pada APK dan mencari kerentanan hardcoding yang mungkin developer menyimpan informasi vendor key pada source code.

Melihat Source Code

HardcodeActivity.class

package jakhar.aseem.diva;

import android.content.Context;
import android.os.Bundle;
import android.support.v7.app.AppCompatActivity;
import android.view.View;
import android.widget.EditText;
import android.widget.Toast;

public class HardcodeActivity extends AppCompatActivity {
  public void access(View paramView) {
    if (((EditText)findViewById(2131492987)).getText().toString().equals("vendorsecretkey")) {
      Toast.makeText((Context)this, "Access granted! See you on the other side :)", 0).show();
      return;
    } 
    Toast.makeText((Context)this, "Access denied! See you in hell :D", 0).show();
  }
  
  protected void onCreate(Bundle paramBundle) {
    super.onCreate(paramBundle);
    setContentView(2130968607);
  }
}

Perhatikan baris ke-12. Validasi yang dilakukan oleh program langsung menggunakan informasi sensitif, yaitu nilai dari vendor key yang valid (vendorsecretkey).

Sekarang kita bisa mendapatkan akses pada fitur tersebut, karena kita bisa mendapatkan vendor key yang valid dengan melakukan reverse engineering.

Kesimpulan

Developer seharusnya tidak menyimpan informasi sensitif seperti credentials ke dalam source code. Walaupun terdapat teknik obfuscation untuk mempersulit seseorang melakukan reverse engineering, hal tersebut tidak sepenuhnya menghentikan kegiatan reverse engineering.