DexGuard: co to je, obfuskace a zabezpečení aplikací pro Android

Co je DexGuard?

DexGuard je komerční nástroj pro obfuskatci a ochranu Android aplikací, vyvinutý stejným týmem, který vytvořil ProGuard (Eric Lafortune). Produkt se objevil v roce 2012 jako rozšíření pro projekty, kde standardní obfuskace ProGuard nestačí. DexGuard pracuje ve fázi po kompilaci, převádí DEX-bajtkód do chráněné podoby před zabalením do APK.

Architektura DexGuard je postavena na vícevrstvém modelu ochrany. První vrstva je obfuskace názvů tříd, metod a polí pomocí overload induction. Druhou je šifrování řetězcových konstant a jejich načítání pomocí stub metod za běhu. Třetí je kontrola integrity APK prostřednictvím ověření kontrolního součtu podpisů. Podle technické zprávy Guardsquare (2025) kombinované použití těchto vrstev zvyšuje dobu analýzy aplikace z několika minut na několik týdnů.

DexGuard podporuje všechny typy Android projektů: aplikace, knihovny, SDK a herní projekty na Unity. Nástroj se integruje do standardního Gradle pipeline přes plugin com.guardsquare.dexguard a po konfiguraci nevyžaduje ruční zásah.

Klíčovým rozdílem DexGuard od open-source alternativ je aktivní ochrana za běhu. Nástroj kód nejen zatemňuje, ale přidává agenta, který provádí kontroly během chodu aplikace. To umožňuje detekovat útoky jako vložení Frida, Xposed nebo ladění přes JDWP a reagovat na ně: nouzové ukončení, generování falešných dat nebo upozornění serveru.

Jak funguje obfuskace v DexGuard

Proces obfuskace v DexGuard se skládá z následných fází transformace bajtkódu, z nichž každá je zaměřena na konkrétní vektor útoku.

Obfuskace názvů s přetížením

Standardní obfuskátor nahrazuje názvy jednopísmenkovými a, b, c. DexGuard používá overload induction — přiřazuje stejný krátký název různým metodám s různými signaturami. Dekompilátor nedokáže přetížení vyřešit a generuje chybný kód. Podle testů Guardsquare zvyšuje přetížení názvů počet chyb dekompilace o 78%.

Šifrování konstant

Řetězcové literály, URL, API klíče a tokeny jsou šifrovány algoritmem AES-256 ve fázi sestavení. Za běhu stub metoda dešifruje řetězec před použitím a po použití vymaže oblast paměti. To chraňuje před statickým prohlížením řetězců v DEX souboru. Příklad bez šifrování: útočník spustí strings dexguard.apk a vidí všechny API endpointy v čistém textu.

Kontrola integrity kódu

DexGuard vypočítá SHA-256 hash pro každý DEX soubor a uloží hodnotu v nativní vrstvě. Při spuštění aplikace agent porovná aktuální hash s referencí. Při odchylce (změněné APK) je aplikace ukončena. Volitelně lze zkontrolovat integritu zdrojů a manifestu.

// build.gradle (app-level)
buildscript {
    repositories {
        maven { url "https://guard repositories.com/dexguard" }
    }
    dependencies {
        classpath "com.guardsquare:dexguard-gradle-plugin:9.1.05"
    }
}

apply plugin: "com.guardsquare.dexguard"

android {
    buildTypes {
        release {
            minifyEnabled true
            proguardFiles getDefaultProguardFile("proguard-android-optimize.txt"),
                "proguard-rules.pro"
            dexguard {
                config "dexguard-project.txt"
            }
        }
    }
}

DexGuard vs ProGuard: klíčové rozdíly

Oba nástroje byly vyvinuty stejnou společností, ale cílí na různé scénáře. ProGuard je open-source optimalizátor a minimální obfuskátor, který je ve výchozím nastavení součástí Android SDK. DexGuard je komerční produkt, který přidává úrovně ochrany, které nejsou ve volné verzi dostupné.

Výběr mezi nástroji je určen třídou chráněných informací. Pro běžnou mobilní aplikaci je ProGuard dostačující. Pro bankovní, platební a lékařské aplikace, kde odhalení kódu přináší finanční nebo regulační rizika, je DexGuard doporučeným řešením. Podle OWASP Mobile Top 10 (2024) je nedostatek obfuskace v aplikacích s důvěrnými daty považován za kritické riziko.

Nastavení DexGuard v Gradle projektu

Integrace DexGuard začíná připojením repozitáře Guardsquare v kořenovém build.gradle. Plugin verze 9.x je kompatibilní s AGP 7.4–8.5 a Gradle 7.6–8.7. Konfigurace ochrany je definována v samostatném dexguard-project.txt, kde se aktivují konkrétní techniky.

// root build.gradle
buildscript {
    repositories {
        maven { url "https://maven.guardsquare.com/dexguard" }
    }
}

// dexguard-project.txt — minimální konfigurace
# Šifrování řetězců
@stringEncryption

# Obfuskace s přetížením názvů
@overloadInduction

# Kontrola integrity APK
@integrityCheck

# Ochrana proti ladění a emulátoru
@antiDebug
@antiEmulator

Směrnice @stringEncryption a @overloadInduction jsou klíčové pro ochranu komerčního kódu. Při aktivaci všech anotací se doba sestavení prodlužuje o 30–60 sekund, což je s ohledem na úroveň ochrany ospravedlnitelné. Konfigurace je uložena ve VCS a aplikuje se pouze na release sestavení.

Je důležité nastavit výjimky pro třídy, které jsou používány prostřednictvím reflexe. DexGuard, stejně jako ProGuard, neanalyzuje reflexi automaticky. V dexguard-project.txt je třeba přidat pravidla -keep pro třídy knihoven načítané přes Class.forName nebo @JavascriptInterface.

// dexguard-project.txt — keep pravidla
# Zachovat Gson model třídy
-keep class com.example.model.** { *; }

# Zachovat WebView rozhraní
-keepclassmembers class * {
    @android.webkit.JavascriptInterface <methods>;
}

# Vyloučit Firebase crash reporty
-keep class com.google.firebase.** { *; }

Techniky ochrany DexGuard

DexGuard zahrnuje více než 20 technik ochrany, rozdělených na statické (ve fázi sestavení) a dynamické (za běhu). Výběr konkrétních technik závisí na modelu hrozeb aplikace.

Statická ochrana

Šifrování zdrojů — obrázky, assety a konfigurační soubory jsou šifrovány a dešifrovány při prvním přístupu. Control flow obfuscation vkládá mrtvý kód a mění pořadí instrukcí, čímž činí bajtkód nečitelným pro dekompilátory jako jadx. Skrývání konstant (constant hiding) nahrazuje číselné literály aritmetickými výrazy počítanými za běhu.

Dynamická ochrana (RASP)

Runtime Application Self-Protection — agent uvnitř aplikace, který monitoruje chování běhového prostředí. DexGuard RASP detekuje: připojení Frida přes /proc/self/maps, přítomnost Xposed Framework, běh pod ladicím nástrojem (JDWP), Android emulátor (QEMU). Při detekci hrozby se aktivuje politika — pád nebo generování nesprávných dat. Podle výzkumu OWASP Mobile Security (2025) zastavila ochrana RASP 94% typických automatizovaných útoků.

Ochrana proti časově závislým útokům

DexGuard přidává náhodné prodlevy v kritických částech kódu, čímž zvyšuje dobu prohledávání při dynamické analýze. Parametr se nastavuje v milisekundách a při každém sestavení se randomizuje. To ztěžuje použití fuzzing nástrojů a automatických skenerů.

Pokyny pro integraci a kompatibilita

Při zavádění DexGuard do stávajícího projektu je třeba zohlednit zpětnou kompatibilitu s knihovnami a oblíbenými SDK. Některé knihovny nejsou kompatibilní s extrémní obfuskatcí kvůli reflexním voláním.

Kompatibilita s oblíbenými SDK

DexGuard je kompatibilní s Firebase Crashlytics, Google Analytics, Google Play Services, Retrofit, OkHttp, Glide a Gson při správných keep pravidlech. Knihovny používající anotace a generování kódu (Dagger, Hilt, Room, DataBinding) vyžadují explicitní zachování generovaných tříd. Tým Guardsquare vydává oficiální konfigurační vzorky pro oblíbené SDK.

Požadavky na prostředí

Minimální požadavky: Android Gradle Plugin 7.4, Gradle 7.6, JDK 11. DexGuard 9.1 podporuje targetSdk 34 a compileSdk 34. Pro Java 17 a AGP 8.2+ je vyžadována verze DexGuard 9.2 a vyšší. Nástroj není kompatibilní s R8 v režimu plné optimalizace — při použití DexGuard je R8 automaticky deaktivován.

Testování po obfuskatci

Po konfiguraci DexGuard je třeba provést regresní testování všech cest ovlivněných reflexí a dynamickým načítáním tříd. Doporučuje se spouštět UI automatizované testy na sestavení s povolenou ochranou před vydáním. Guardsquare poskytuje nástroj DexGuard Tracer, který loguje chyby ClassNotFoundException za běhu bez pádu aplikace, čímž usnadňuje ladění keep pravidel.