markdown Android基础概念和实务

Posted 2021-05-06

## Android 平台安全架構  
  
#### 沙盒(sandbox)  
  
> e.g.網頁的虛擬執行環境,當使用者透過瀏覽器執行磁碟寫入操作,  
  所有動作都將導向一個暫存資料夾中,如此一來即使被安裝惡意軟體也只是安裝在暫存資料夾下。  
  
![](https://pic.pimg.tw/fecbob/1355912505-3392183061.jpg)  
  
#### 安全控制目標  
  
1.保護使用者資料  
2.保護系統資源(包括網路)  
3.提供APP隔離  
  
>Android提供以下關鍵安全功能  
*藉由linux kernel強化作業的安全性  
*強制使用沙盒  
*保全程序間的溝通管道與內容  
*APP Signing  
*由app定義(Application-defined)的權限 && 使用者授予(User-Granted)的權限  
  
#### 開發指南部份截取重點  
  
*建立機制防止付費資源(電子錢包、簡訊、電話等)被未受經授權的存取.  
*確保使用第三方服務和app時的資料安全. 
*敏感性資料(蒐集、利用、儲存、傳輸、分享、刪除)
*反編譯?  
  
#### 行動應用app安全開發生命週期各階段  
準備>需求>設計>開發實作>測試>部署維運  
  
<準備>(建立安全開發流程> 進行安全開發實務教育訓練>測試第三方api函式庫>建立原始碼安全控管機制)  
                                            (如何測試第三方函式庫?)(確認安全便可重複引用已降低漏洞發生機率)  
  
<需求>(定義安全需求/風險分析/定義正常使用與錯誤使用案例)  

  
<測試>(測試規劃>測試準備>app測試>評估控制)