Как проверить установленное приложение во время выполнения, чтобы предотвратить фишинговую атаку?

Android предлагает собственный метод проверки того, было ли установлено приложение из Play Store, даже из Amazon App Store. Но работает ли это в других приложениях?

Взгляните на метод:

PackageManager.getInstallerPackageName(String packageName) (Документация)

if(context.getPackageManager().getInstallerPackageName("com.untrusted.app") ==
  "com.android.vending") {                          //   ^^^ CHANGE ^^^

  //Verified; app installed directly from Play Store
}

if(context.getPackageManager().getInstallerPackageName("com.untrusted.app") ==
  "com.amazon.venezia") {

  //Verified; app installed directly from Amazon App Store
}

Что, если основное приложение получит подпись платежного приложения через API-интерфейс менеджера пакетов и проверит ее (например, по белому списку подписей)? Процесс проверки также может происходить на главном сервере приложений.

РЕДАКТИРОВАТЬ: что-то в этом роде

        List<byte[]> whitelist = ... ; // load from config or something...

        PackageManager pm = this.getPackageManager();
        String packageName = "payment.app.package.name";

        PackageInfo packageInfo = pm.getPackageInfo(packageName, PackageManager.GET_SIGNATURES);
        Signature[] signatures = packageInfo.signatures;

        for (Signature sig : signatures) {
            InputStream input = new ByteArrayInputStream(sig.toByteArray());
            CertificateFactory cf = CertificateFactory.getInstance("X509");
            X509Certificate cert = (X509Certificate) cf.generateCertificate(input);

            PublicKey pb = cert.getPublicKey();
            if (! whitelist.contains(pb.getEncoded())) {
                throw new Exception("public key is not valid");
            }
        }

То, что вы ищете, — это комбинация подписей приложений и разрешений. Чтобы уточнить, это будет работать только в том случае, если вы владеете обоими приложениями и можете подписывать их одним и тем же ключом.

Согласно документам:

«signature»: разрешение, которое система предоставляет, только если запрашивающее приложение подписано тем же сертификатом, что и приложение, объявившее разрешение. Если сертификаты совпадают, система автоматически предоставляет разрешение, не уведомляя пользователя и не запрашивая явное согласие пользователя.

Это означает, что сама ОС Android требует, чтобы подписи двух приложений совпадали, чтобы разрешение было предоставлено. Это то, что вам нужно, поскольку разрешение не будет предоставлено, если кто-то попытается подделать ваше приложение. Поскольку они не могут подписать свое приложение с помощью вашего закрытого ключа, они не смогут подделать вашу подпись.

Чтобы создать разрешение, в своем манифесте для приложения, предоставляющего платежную услугу, вы должны объявить его следующим образом:

<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.example.myapp.paymentservice" >

    <permission android:name="com.example.myapp.paymentservice.permission.PAYMENT"
        android:label="@string/permission_payment_label"
        android:description="@string/permission_payment_description"
        android:protectionLevel="signature" />
    ...

Затем, когда вы объявляете свой сервис, защитите его с помощью android:permission, который вы объявили:

    ...
    <service android:name=".BillingService"
        android:permission="com.example.myapp.paymentservice.permission.PAYMENT" />
</manifest>

Наконец, вы объявляете в своих клиентских приложениях, что используете это разрешение:

<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.example.myapp.clientapp" >

    <uses-permission android:name="com.example.myapp.paymentservice.permission.PAYMENT" />
    ...
</manifest>

Пока два приложения подписаны одним и тем же ключом подписи, ОС предоставит разрешение. Для получения дополнительной информации посетите http://developer.android.com/guide/topics/security/permissions.html#defining и http://developer.android.com/guide/topics/manifest/permission-element.html