Android

SonarQube Community Build 是免費的原始碼品質與資安檢測工具。本篇文章從環境需求、安裝步驟到以 Gradle 建置的 Android 專案整合，完整示範如何在本機快速導入 SonarQube 並開始進行程式碼分析。

前言 對，又是資安檢測。XD 前一篇 Android 資安 | 螢幕覆蓋攻擊（Tapjacking）防護筆記 就是因為資安檢測所做的調整，而這次被檢測出來的項目，是 4.1.2.3.4 行動應用程式應避免在關閉及登出後將敏感性資料儲存於冗餘檔案或日誌檔案中。 報告的詳細說明指出，App 本地儲存的 SQLite 資料庫檔案，被檢測出包含使用者的敏感資訊（如行動電話號碼）。按照報告的步驟，確實能輕易地從資料庫檔案中讀取到這些未經保護的資料。 要讓檢測單位篩檢不出敏感資訊的方法有很多，例如只針對敏感資料欄位加密。但考量到 App 尚處於開發階段，同時提早因應未來可能會越來越嚴格的資安標準，直接將整個 SQLite 資料庫加密，似乎是更好的方法， 廢話不多說，我們就來看看如何在 Android 上，使用 SQLCipher 為 Room 資料庫進行加密吧~ 什麼是 SQLCipher 首先，先認識一下本篇文章的主角，SQLCipher。 SQLCipher 是由 Zetetic 公司所開發與維護的 SQLite 加密套件，它透過簡單的擴充，為 SQLite 資料庫提供了透明、可靠的加密層。 它的主要特性包含： 透明加解密：在資料讀取與寫入時，SQLCipher 會在背景自動進行加解密，開發者無需修改原有的 SQL 查詢邏輯。 可靠的加密演算法：採用 AES-256 位元演算法，這是目前公認的安全標準。 頁面級加密：對資料庫的每一頁（Page）獨立加密，確保資料的完整性與安全性。 跨平台支援：支援 Android, iOS, .NET, macOS, Linux 等多個平台。 彈性的授權：免費的社群版到功能更豐富的付費商用版都有，開發者可根據專案需求選擇。 大概認識 SQLCipher 後，就來看看在 Android 上該如何與 Room 搭配實作吧！ 整合 SQLCipher 與 Room 步驟 1：加入 Gradle 依賴 首先，在 app module 的 build.gradle.kts 或 build.gradle 檔案中，加入 SQLCipher 的依賴。 ...

今年度的資安檢測基準新增了「螢幕覆蓋攻擊」的檢測項目。剛好最近送測的專案也因此被點出不符規範，加上後續的專案預期都會受到影響，因此特別整理這篇筆記，讓自己能快速掌握概念，並理解各種防護方式的實作細節。 什麼是螢幕覆蓋攻擊（Screen Overlay Attack）？ 圖片來源: Android Doc - Privacy and Security - Tapjacking 根據 行動應用資安聯盟 - 行動應用App基本資安檢測基準V4.0 裡的描述： 攻擊者的應用程式會在行動應用程式上繪製一個視窗，誤導使用者將自己點擊的入侵視窗當作正常視窗。 換句話說，螢幕覆蓋攻擊本質上就是「用一層假的 UI 蓋住真的 UI」。攻擊者可能會模擬系統警示框、模擬 App 畫面，或做成任何能誘導操作的浮動視窗。 在網頁領域，它的行為類似 ClickJacking；而在 Android 官方文件中，這類攻擊則被稱為 Tapjacking。 如何避免 App 遭遇螢幕覆蓋攻擊？ 理解攻擊手法後，防範策略可以分成這幾個方向： 避免 App 不被其他 App 遮蔽。 在 App 畫面被遮蔽時，使觸控事件無效。 🙃 警告使用者不要亂安裝奇怪的東西跟亂給權限… 🙃 以下整理幾種常見、有效、並且可依系統版本選擇的防護方式。 方法一、WindowManager.LayoutParams.FLAG_SECURE 支援版本：API 1 起即可使用。 效果：阻止 Overlay、阻止截圖、阻止投影。 1 2 3 4 5 // 禁止其他程式於上層繪製 / 禁止截圖 / 禁止投影 activity.window.setFlags( WindowManager.LayoutParams.FLAG_SECURE, WindowManager.LayoutParams.FLAG_SECURE ) 在 Activity.onCreate() 加上上述設定後，不僅可以防止 Overlay，也會一併禁止截圖與投影。這也是許多銀行、醫院等高資安需求 App 的常見做法。 ...