Die Umgebung schützen

Google bietet eine Reihe von APIs und Diensten, mit denen Sie feststellen können, ob Ihre App in einer sicheren und vertrauenswürdigen Umgebung ausgeführt werden. Im Mittelpunkt steht die Play Integrity API, die dabei hilft, die Echtheit von Interaktionen zu überprüfen, indem potenziell riskante und betrügerische Interaktionen. Neben der App- und Geräteintegrität Die Integrity API bietet jetzt Informationen zu Risiken bei Zugriff und Barrierefreiheit. Google Play Protect und aktuelle Geräteaktivitäten Zur weiteren Härtung Ihre Strategie zur Betrugsbekämpfung. Die Android-Plattform bietet APIs für bestimmte Szenarien. die für Ihre App relevant sein könnten.

Play Integrity API

Mit der Play Integrity API kannst du den Sicherheitsstatus der Gerät, auf dem die App ausgeführt wird. So können Sie sicher sein, dass die richtigen Nutzenden auf vertrauliche Daten zugreift.

Sie können damit prüfen, ob Interaktionen und Serveranfragen Echtes App-Binärprogramm in einer vertrauenswürdigen Umgebung:

• Echtes App-Binärprogramm: Ermitteln Sie, ob Sie mit Ihrem unverändertes Binärprogramm, das Google Play erkennt.
• Echte Play-Installation: Prüfen Sie, ob das aktuelle Nutzerkonto Das bedeutet, dass der Nutzer Ihre App oder Ihr Spiel Google Play
• Echtes Android-Gerät: Prüfen Sie, ob Ihre App auf einem echten Android-Gerät ausgeführt wird. Android-Gerät, unterstützt durch Google Play-Dienste
• Frei von bekannter Malware: Prüfen Sie, ob Google Play Protect aktiviert ist. und ob riskante oder gefährliche Apps gefunden wurden, die auf dem Gerät installiert sind.
• Geringes Zugriffsrisiko durch andere Apps: Prüfen, ob andere Apps ausgeführt werden mit denen Sie den Bildschirm aufnehmen oder das Gerät und die Eingaben in Ihrer App steuern können.

So trägt dies zur Eindämmung von Betrug bei

Wenn ein Nutzer eine wichtige Aktion in deiner App ausführt, Integrity API verwenden. Ist dies nicht der Fall, kann der Backend-Server Ihrer App entscheiden, welche zum Schutz vor Angriffen und Betrug. Beispielsweise könnten Sie zusätzliche Nutzerbestätigung oder den Zugriff auf vertrauliche Funktionen verweigern.

Risiko des App-Zugriffs

Das Signal App-Zugriffsrisiko wurde eingeführt, damit Sie beurteilen können, ob andere können Apps auf einem Gerät den Bildschirm ansehen und aufnehmen, wenn deine App Ihre App ausführen oder darauf zugreifen, mithilfe von Berechtigungen für Bedienungshilfen. Überprüft Bedienungshilfen-Apps werden bei diesen Ergebnissen automatisch ausgeschlossen. App-Zugriff Risiken helfen Entwicklern dabei, ihre Apps zu schützen und gleichzeitig die Privatsphäre der Nutzer zu wahren. Die anfragende App erhält nicht die Identität der installierten Apps und die nicht mit Nutzer- oder Gerätekennungen verknüpft ist.

Dank dieser gemeinsamen Bemühungen sind wir in der Lage, die Signale zu erhalten, geben uns tiefere Einblicke, um unsere Kunden effektiver zu schützen.
— Nubank, Early Access-Partner

Das App-Zugriffsrisiko hat unterschiedliche Risikostufen:

• Eine Aufnahmeantwort bedeutet, dass andere Apps ausgeführt werden, die den Bildschirm aufnehmen können.
• Eine steuernde Antwort bedeutet, dass andere Apps ausgeführt werden, die den sodass sie sowohl den Bildschirm aufnehmen als auch die Eingaben in Ihre App einbinden.

Risiko von App-Zugriffen ist jetzt in der öffentlichen Betaversion verfügbar und wird allgemein in den kommenden Monaten verfügbar.

Durchsetzung von App-Zugriffsrisiken

Ermittle hochwertige oder sensible Aktionen in deiner App oder deinem Spiel zum Schutz Play Integrity API verwenden, anstatt den Zugriff vollständig zu verweigern. Fordern Sie nach Möglichkeit riskanter Traffic vor der Zulassung hochwertiger Aktionen. Wenn beispielsweise Das Risiko eines App-Zugriffs deutet darauf hin, dass eine App ausgeführt wird, die den Bildschirm zu aktivieren, bitten Sie den Nutzer, Apps zu deaktivieren oder zu deinstallieren, die den Bildschirm erfassen können. bevor sie zu den Funktionen gelangen, die Sie schützen möchten.

Diese Tabelle enthält einige Beispielergebnisse:

Play Protect-Signal

Das Play Protect-Signal teilt Ihrer App mit, ob Play Protect aktiviert ist und ob auf dem Gerät installierte schädliche Apps gefunden wurden.

environmentDetails:{
  playProtectVerdict: "NO_ISSUES"
}

Wenn Malware für Ihre App oder die Ihrer Nutzer können Sie Dieses Ergebnis prüfen und die Nutzer bitten, Play Protect zu aktivieren oder schädliche Apps, bevor Sie fortfahren.

playProtectVerdict kann einen der folgenden Werte haben:

Letzte Geräteaktivitäten

Du kannst auch die letzten Geräteaktivitäten aktivieren, um zu erfahren, wie oft deine App in der letzten Stunde ein Integritätstoken auf einem bestimmten Gerät angefordert hat. Ich kann deine App anhand der letzten Geräteaktivitäten vor unerwarteten, hyperaktiven Geräten, die ein Hinweis auf einen aktiven Angriff sein könnten. Sie können je nachdem, wie viele Geräte aktiv sind, Wie oft erwarten Sie, dass Ihre App auf einem typischen Gerät eine Integritätsanfrage Token stündlich.

Wenn Sie dem Erhalt von recentDeviceActivity zustimmen, wird das Feld deviceIntegrity zwei Werte haben:

deviceIntegrity: {
  deviceRecognitionVerdict: ["MEETS_DEVICE_INTEGRITY"]
  recentDeviceActivity: {
    // "LEVEL_2" is one of several possible values.
    deviceActivityLevel: "LEVEL_2"
  }
}

Zuerst solltest du dir die Daten ansehen, um zu sehen, wie hoch die typische Geräteaktivität ist für Ihre App auf allen Ihren Geräten. Dann können Sie entscheiden, wie Ihre App sollte antworten, wenn ein Gerät zu viele Anfragen sendet. Wenn es sich bei der Aktivität um zu hoch ist, bitten Sie den Nutzer, es später noch einmal zu versuchen. Wenn die Aktivität sehr hoch ist, sollten Sie stärkere Maßnahmen ergreifen.

Standardmäßige und klassische Anfragen

Bei der Implementierung von Play Integrity ist es wichtig, die zwei Arten von Anträgen. Sie sollten in den meisten Fällen Standardanfragen verwenden. um die schnellste Antwort zu liefern. klassische Anfragen sollten verwendet werden, wenn Eine neu generierte Anfrage für den Geräteattestierungseintrag ist erforderlich.

In der Play Integrity-Dokumentation finden Sie weitere Informationen zu Standard und klassischen Anfragen.

Implementierung

Erste Schritte mit der Play Integrity API:

• Aktivieren Sie Antworten der Play Integrity API in der Google Play Console und verknüpfen Sie sie in ein Google Cloud-Projekt ein.
• Binde die Play Integrity API in deine App ein.
• Entscheiden Sie, wie Sie mit den Ergebnissen umgehen.

Standardmäßig erlaubt die Play Integrity API bis zu 10.000 Anfragen pro App und Tag. Bis Wenn Sie daran interessiert sind, die maximale Anzahl von Anfragen pro Tag zu erhöhen, folgen Sie dieser Anleitung. Um sich für eine Erhöhung Ihrer täglichen Höchstanzahl zu qualifizieren muss deine App die Play Integrity API korrekt implementieren und nicht nur bei Google Play, sondern auch in anderen Vertriebskanälen verfügbar ist.

Hinweise zur Play Integrity API

• Es ist wichtig, dass Sie Fehler in den Antworten der Play Integrity API verarbeiten, angemessen. Folgen Sie diesem Leitfaden zu Wiederholungsstrategien und Erzwingungsstrategien. basierend auf Fehlercodes.
• Die Play Integrity API bietet Testtools für Antworten.
• Wenn Sie sich das Integritätsergebnis von Ihrem Gerät ansehen möchten, folgen Sie dieser Anleitung.
• Lesen Sie die Sicherheitsaspekte mit den empfohlenen Vorgehensweisen bei Verwendung der Play Integrity API

Automatischer Integritätsschutz (API ab 23)

Der automatische Integritätsschutz ist ein Dienst zum Schutz vor Manipulationen, deine App vor Integritätsmissbrauch in Form von nicht autorisierten und Weitergabe von Daten. Es funktioniert ohne Datenverbindung und erfordert keine Entwicklerarbeit vor dem Testen und keine Backend-Server-Integration.

So trägt dies zur Eindämmung von Betrug bei

Wenn du den automatischen Integritätsschutz aktivierst, fügt Google Play deinem App-Code und erschwert deren Entfernung durch erweiterte Verschleierung und Anti-Reverse Engineering-Techniken. Während der Laufzeit prüft die Schutzmaßnahme, App wurde manipuliert oder weitergegeben:

• Wenn die Prüfung des Installationsprogramms fehlschlägt, werden Nutzer aufgefordert, deine App bei Google Play herunterzuladen
• Wenn die Änderungsprüfung fehlschlägt, wird die App nicht ausgeführt

So sind Nutzer besser vor modifizierten Versionen Ihrer App geschützt.

Implementierung

Der automatische Integritätsschutz ist derzeit nur für ausgewählte Play-Partner verfügbar . Wende dich an den Google Play-Entwicklersupport, wenn die Funktion nicht verfügbar ist in die Google Play Console nutzen und Interesse an einem Zugriff haben.

Sie können den Schutz entweder beim Erstellen eines Release oder in der App-Version Integrität („Release“ > „App-Integrität“). Automatische Integrität muss Ihre App die Play App-Signatur verwenden.

Testen Sie Ihre geschützte App unbedingt, bevor Sie den Release Produktion.

Hinweise

• Keine ungeschützten App-Versionen veröffentlichen
• Vorsicht beim Verwenden mehrerer Manipulationsschutz-Lösungen
• Geschützte App testen, bevor Sie sie als Produktionsversion veröffentlichen
• Beobachte die Statistiken wie gewohnt auf Anstiege von Abstürzen.
• Sie können gecrackte Versionen Ihrer App bei Google Play melden