kekurangan dan kelebihan safetynet
Kelebihan:
Verifikasi sistem file: Identifikasi perangkat seluler yang lingkungan perangkat lunaknya telah menyimpang dari instalasi pabrik, misalnya perangkat yang telah di-root.
Layanan gratis: Ada batasan 10 ribu pengesahan per hari, yang mungkin menjadi masalah bagi aplikasi bervolume tinggi, namun dalam banyak kasus, layanan SafetyNet akan membantu pada tahap awal pengembangan/penerapan.
Pengesahan aplikasi yang sedang berjalan: Kemampuan untuk memastikan aplikasi asli menggunakan layanan SafetyNet tentu saja membantu dari sudut pandang keamanan meskipun perlu dicatat bahwa pengesahan aplikasi apa pun yang berjalan pada perangkat yang di-rooting tidak dapat dipercaya. Beberapa sektor menganggap bahwa ponsel yang telah di-root, dimana tidak ditemukan masalah keamanan lainnya, dapat diterima dan bagi bisnis tersebut, SafetyNet mungkin tidak berguna.
Kekurangan:
Integrasi backend: Sisi server bertanggung jawab untuk menyediakan nilai nonce untuk memulai proses SafetyNet dan oleh karena itu, seperti yang disorot dalam dokumentasi Google, penerapan verifikasi di API Gateway, WAF, CDN, dll., tidak mungkin dilakukan. mungkin menjadi batasan penting bagi beberapa pelanggan.
Kinerja Layanan: Layanan SafetyNet tidak dilengkapi dengan Perjanjian Tingkat Layanan (SLA) apa pun dan terdapat bukti bahwa proses pengesahan dapat memakan waktu beberapa detik untuk diselesaikan. Fakta-fakta ini berarti bahwa pengesahan SafetyNet jarang digunakan, sehingga berdampak pada tingkat keamanan efektif, dan mungkin tidak pada aplikasi bervolume tinggi.
Man-in-the-Middle: Perlu juga dicatat bahwa tidak ada perlindungan dalam sistem dari intersepsi token SafetyNet melalui serangan Man-in-the-Middle (MitM), sesuatu yang mungkin penting ketika melakukan ancaman penilaian saluran seluler untuk bisnis yang memutuskan untuk mengizinkan perangkat yang di-rooting.
Kesimpulan:
Jika Anda sedang mempertimbangkan cara meningkatkan keamanan platform Android Anda, maka SafetyNet API Google, yang sekarang digantikan oleh Play Integrity, pasti ada dalam pikiran Anda. Namun, Anda harus membekali diri dengan informasi yang diperlukan untuk membuat keputusan yang tepat tentang apakah, bagaimana, dan di mana menggunakan kemampuan ini.Secara khusus, kami menyarankan Anda menjawab pertanyaan-pertanyaan berikut selama diskusi internal Anda:
Apakah Anda perlu mengizinkan ponsel yang di-rooting untuk menggunakan layanan Anda karena sebagian besar pengguna asli Anda menggunakan ponsel yang di-rooting?
Apakah Anda ingin antarmuka keamanan yang konsisten untuk platform Android dan iOS Anda?
Apakah Anda mengembangkan aplikasi seluler menggunakan lingkungan pengembangan lintas platform seperti ReactNative, Xamarin, atau Cordova di mana plugin SafetyNet/Play Integrity mungkin tidak tersedia?
Apakah kondisi keamanan Anda memerlukan jaminan bahwa hanya aplikasi seluler asli yang menggunakan API Anda berdasarkan permintaan API?
Apakah Anda perlu memastikan bahwa API Anda tidak dibaca atau dimanipulasi oleh Man-in-the-Middle?
Kami memiliki banyak pengetahuan dan pengalaman di bidang ini dan kami akan dengan senang hati membantu Anda menemukan rangkaian lapisan keamanan yang paling efektif untuk kasus penggunaan Anda.
