如何保护解密密钥免于反编译？

Question

我是Java初学者。我正在开发可解密某些数据的应用程序。解密密钥被硬编码到软件中，因此可以通过分析字节码看到。

我知道不能完全防止逆向工程，所以我想做的就是使过程尽可能地艰巨。

我的想法不是直接将密钥放入代码中，而是将其进行某种转换。例如，我可以写-

private static final byte[] HC256A = Hex
            .decode("8589075b0df3f6d82fc0c5425179b6a6"
                    + "3465f053f2891f808b24744e18480b72"
                    + "ec2792cdbf4dcfeb7769bf8dfa14aee4"
                    + "7b4c50e8eaf3a9c8f506016c81697e32");

这样，查看字节码的人无法立即读取它。但是将必须遵循逻辑并对其进行转换，这在字节级别上不会那么容易。

那么你们怎么看？这有用吗？除了十六进制解码，什么是最好的转换？是否有其他方法可以保护硬编码的解密密钥？

感谢您的所有建议。

Answer 1

正确处理此类混淆（尤其是字节码语言）的正确方法是将调试器附加到密钥通过的位置（如果无法进行调试，请从该位置开始分析代码）。这样，攻击者根本不需要寻找密钥，而且他也不在乎密钥的混淆程度。因此，您需要重新考虑您的设计。

如果您只想保护业余潜行者，则可以拆分密钥并对其各个部分进行XOR运算（可能使用不同的密钥）就足够了。还有一个技巧-
从代码中已经存在的文本常量（例如应用程序名称）派生密钥。这使得密钥不如拆分或XORing明显。