其他人看到我的Google Play Dev RSA公鑰是否安全？

Question

我有一個開源應用程序，我最近添加了應用內結算功能。由於代碼現在擁有RSA密鑰，因此保持開放源碼是安全的嗎？

我提到的關鍵是由Google Play開發者控制檯提供的Base64編碼的RSA公鑰。

Answer 1

名稱說這是一個公鑰。這意味着它可以與其他人公開分享。即使你不想分享它，任何具有足夠技能的開發人員都可能很有可能從你的應用程序中提取它，如果它在那裏的話。所以這不是一個大問題，如果你透露它。

你真正必須保密的是你在應用程序中存儲和訪問公鑰的方式。這很重要，因爲您的應用使用您的公鑰來驗證付款服務器響應。如果您的私鑰簽名，則認爲該簽名有效。因此，擁有一個公共密鑰，您可以隨時說出服務器是否使用了您的私鑰（只有您自己知道）才能簽署該內容。黑客可以做的是，他/她可以用你的公鑰替換你的應用程序中的公鑰，然後發送用他們的私鑰簽名的黑客響應。您的邏輯將成功驗證此類回覆，並且您的應用將表現爲付費應用。因此，請注意並保持私人存儲公鑰的方式。

關於您的情況，我建議徹底從您的開源項目中刪除與應用內支付相關的代碼。這將增加安全性並使黑客生活更加困難。您不必擔心公開密鑰泄露，但您最好也可以將其刪除，並與上述實施一起。