Sử dụng Play Integrity API để phát hiện hoạt động tương tác có tính rủi ro và phòng chống hành vi sai trái

Bạn có thể sử dụng Play Integrity API để bảo vệ ứng dụng và trò chơi của mình khỏi các hoạt động tương tác có tính rủi ro. Bằng cách xác định những tương tác như vậy, ứng dụng của bạn có thể phản ứng thích đáng để giảm nguy cơ bị tấn công và sử dụng sai cách.

Cách hoạt động

Play Integrity API giúp bạn bảo vệ ứng dụng và trò chơi của mình khỏi hành vi sai trái bằng cách kiểm tra xem các lượt tương tác của người dùng và các yêu cầu gửi tới máy chủ có đến từ tệp nhị phân của ứng dụng chưa sửa đổi do Google Play cài đặt và chạy trên một thiết bị Android chính hãng (hoặc phiên bản chính hãng của Google Play Games dành cho máy tính) hay không. Bằng cách phát hiện nhiều mối đe doạ (chẳng hạn như các phiên bản đã sửa đổi của ứng dụng, thiết bị không đáng tin cậy hoặc các môi trường không đáng tin cậy khác), bạn có thể phản hồi một cách thích hợp để giảm các cuộc tấn công như gian lận, lừa đảo và truy cập trái phép.

Khi người dùng thực hiện một hành động, ứng dụng của bạn sẽ yêu cầu đánh giá Play Integrity API. Máy chủ Google Play trả về một phản hồi được mã hoá kèm theo kết quả về tính toàn vẹn. Sau đó, ứng dụng của bạn sẽ chuyển tiếp phản hồi này đến máy chủ để xác minh. Máy chủ phụ trợ của bạn sử dụng kết quả này để quyết định hành động tiếp theo mà ứng dụng hoặc trò chơi của bạn nên thực hiện. 

API này trả về các kết quả giúp bạn phát hiện các mối đe doạ tiềm ẩn, bao gồm:

• Hành vi truy cập trái phép: Kết quả accountDetails giúp bạn xác định xem người dùng đã cài đặt hoặc thanh toán cho ứng dụng hoặc trò chơi của bạn trên Google Play hay chưa.
• Hành vi can thiệp vào mã: Kết quả appIntegrity giúp bạn xác định xem bạn có đang tương tác với tệp nhị phân chưa sửa đổi mà Google Play nhận dạng được hay không.
• Thiết bị có rủi ro và môi trường mô phỏng: Kết quả deviceIntegrity giúp bạn xác định xem ứng dụng có đang chạy trên một thiết bị Android chính hãng đã được chứng nhận hay một phiên bản chính hãng của Google Play Games dành cho máy tính hay không.

Lưu ý quan trọng: Khi Play Integrity API đánh giá một môi trường, API này sẽ sử dụng các tín hiệu bảo mật dựa trên phần cứng có khả năng chống lại các cuộc tấn công và hành vi xâm nhập. Play Integrity API giúp đơn giản hoá công việc tích hợp và quản lý liên tục của nhà phát triển bằng cách loại bỏ sự phức tạp của tín hiệu và giảm thiểu vấn đề trên các phiên bản SDK Android, khoá do nhà sản xuất thiết bị cung cấp và các mẫu thiết bị.

Nhà phát triển trên Google Play cũng có thể chọn nhận các kết quả bổ sung để phát hiện nhiều mối đe doạ tiềm ẩn hơn, bao gồm:

• Thiết bị chưa có bản vá: Phản hồi MEETS_STRONG_INTEGRITY trong kết quả deviceIntegrity giúp bạn xác định xem một thiết bị đã áp dụng các bản cập nhật bảo mật gần đây hay chưa (đối với các thiết bị chạy Android 13 trở lên).
• Rủi ro khi các ứng dụng khác truy cập: appAccessRiskVerdict giúp bạn xác định xem có ứng dụng nào đang chạy có thể được dùng để ghi lại màn hình, hiển thị lớp phủ hoặc điều khiển thiết bị (ví dụ: bằng cách sử dụng sai quyền hỗ trợ tiếp cận) hay không.
• Phần mềm độc hại đã biết: playProtectVerdict giúp bạn xác định xem Google Play Protect đã được bật hay chưa, cũng như liệu Google Play Protect có tìm thấy trên thiết bị này ứng dụng nào gây rủi ro hoặc nguy hiểm hay không.
• Hoạt động quá mức: Cấp recentDeviceActivity giúp bạn xác định xem gần đây một thiết bị có thực hiện số lượng yêu cầu cao bất thường hay không. Đây có thể là dấu hiệu cho thấy lưu lượng truy cập tự động và có thể là dấu hiệu của một cuộc tấn công.
• Hành vi sai trái lặp lại và thiết bị được dùng lại: deviceRecall (thử nghiệm) giúp bạn xác định xem bạn có đang tương tác với một thiết bị mà bạn đã gắn cờ trước đây hay không, ngay cả khi ứng dụng của bạn được cài đặt lại hoặc thiết bị được đặt lại.

Bạn có thể sử dụng API này trên nhiều hệ số hình dạng Android, bao gồm cả điện thoại, máy tính bảng, thiết bị có thể gập lại, Android Auto, Android TV, Android XR, ChromeOS, Wear OS và trên Google Play Games dành cho máy tính.

 

Mẹo:

• Bạn có thể theo dõi trạng thái của Play Integrity API và các dịch vụ khác của Play qua Trang tổng quan về trạng thái của Google Play.
• Integrity API sẽ hữu ích nhất cho ứng dụng nếu bạn làm theo từng phương pháp đề xuất trong tài liệu trên trang web dành cho nhà phát triển Android.

Thiết lập và quản lý Play Integrity API

Bật Integrity API cho ứng dụng của bạn

Lưu ý quan trọng: Bằng việc truy cập hoặc sử dụng Integrity API, bạn đồng ý với Điều khoản dịch vụ của Play Integrity API.

Để bật tính năng phản hồi của Integrity API cho ứng dụng, bạn cần liên kết với một dự án Google Cloud trong Play Console. Cách liên kết dự án:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Play Integrity API".
3. Nhấp vào Bắt đầu.
4. Chọn "Liên kết dự án hiện có" rồi chọn dự án mà bạn muốn liên kết.
5. Nhấp vào Liên kết dự án trên đám mây.

Để bắt đầu tích hợp Integrity API vào ứng dụng, bạn cần làm như sau:

• Đối với ứng dụng sử dụng Java/Kotlin, hãy cài đặt thư viện Android mới nhất cho Play Integrity API từ Kho lưu trữ Maven của Google.
• Đối với các trò chơi trên Unity,  hãy cài đặt bản phát hành mới nhất của trình bổ trợ Google Play dành cho Unity. Mọi phiên bản 2019.x, 2020.x trở lên đều được hỗ trợ. Nếu bạn sử dụng Unity 2018.x, hãy cài đặt phiên bản 2018.4 trở lên. Nếu bạn sử dụng Unity 2017.x, hãy cài đặt phiên bản 2017.4.40 trở lên. Phiên bản Unity 5.x trở xuống không được hỗ trợ.
• Đối với các ứng dụng và trò chơi Gốc, hãy cài đặt phiên bản mới nhất của SDK gốc của Play Core.

Giờ đây, bạn có thể làm theo các bước trên trang web dành cho nhà phát triển Android để bắt đầu sử dụng Play Integrity API trong ứng dụng hoặc trò chơi của mình.

(Không bắt buộc) Tuỳ chỉnh phản hồi của Integrity API 

Để tìm hiểu cách thiết lập phản hồi về tính toàn vẹn của API, hãy truy cập trang web dành cho nhà phát triển Android. 

Cách chỉnh sửa phản hồi của API:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Play Integrity API".
3. Nhấp vào Quản lý.
4. Di chuyển đến mục "Phản hồi".
5. Nhấp vào Chỉnh sửa.
6. Chọn hoặc bỏ chọn các hộp đánh dấu bên cạnh phản hồi API mà bạn muốn thay đổi.
7. Nhấp vào Lưu thay đổi.

Lưu ý quan trọng: Thay đổi đối với phản hồi API sẽ có hiệu lực ngay sau khi bạn lưu, kể cả khi ứng dụng đang ở phiên bản chính thức. Trước khi thay đổi các phản hồi của API trong Play Console, hãy đảm bảo máy chủ của bạn đã sẵn sàng chấp nhận những phản hồi đó.

(Không bắt buộc) Định cấu hình chế độ cài đặt cho yêu cầu kiểu cũ

Theo mặc định, Google quản lý quy trình mã hoá phản hồi đối với các yêu cầu kiểu cũ. Tuy nhiên, bạn có thể chọn tự quản lý quy trình mã hoá phản hồi của mình nếu muốn. 

Lưu ý quan trọng: Để chuyển đổi quy trình mã hoá phản hồi giữa chế độ do Google quản lý và chế độ tự quản lý, bạn bắt buộc phải thay đổi mã trên máy chủ phụ trợ.

Cách tự quản lý quy trình mã hoá phản hồi:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Play Integrity API".
3. Nhấp vào Quản lý.
4. Di chuyển đến mục "Yêu cầu kiểu cũ". Theo mặc định, bên cạnh phần "Mã hoá phản hồi" sẽ là trạng thái "Do Google quản lý". Nhấp vào Thay đổi.
5. Chọn "Quản lý và tải khoá mã hoá phản hồi của tôi xuống". Google sẽ tạo các khoá mã hoá phản hồi để bạn tải xuống và quản lý. Bạn phải cập nhật logic trên máy chủ phụ trợ của bạn thì mới sử dụng được các khoá này để giải mã phản hồi.
6. Làm theo hướng dẫn trên màn hình để tạo tệp .pem và tải tệp .pem lên để tải khoá API xuống.
7. Nhấp vào Lưu thay đổi.
8. Thông báo trên màn hình sẽ xác nhận rằng bạn đã cập nhật xong chế độ quản lý quy trình mã hoá phản hồi.
9. Khoá mã hoá phản hồi mới sẽ được tự động tải xuống. Bạn luôn có thể tải các khoá đó xuống trong tương lai bằng cách nhấp vào Tải khoá xuống.

Nếu bạn muốn chuyển từ chế độ tự quản lý sang chế độ do Google quản lý, hãy làm như sau:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Play Integrity API".
3. Nhấp vào Quản lý.
4. Di chuyển đến mục "Yêu cầu kiểu cũ". Bên cạnh phần "Mã hoá phản hồi", trạng thái sẽ là "Tự quản lý" vì bạn từng thay đổi trạng thái. Nhấp vào Chỉnh sửa.
5. Chọn "Cho phép Google quản lý quy trình mã hoá phản hồi của tôi (nên chọn)" và nhấp vào Lưu thay đổi. Google sẽ tạo và quản lý khoá mã hoá phản hồi của bạn. Máy chủ phụ trợ của bạn phải yêu cầu máy chủ của Google Play giải mã các phản hồi.

Thử nghiệm việc tích hợp Play Integrity API

Để thử nghiệm việc tích hợp Integrity API, bạn có thể thiết lập một danh sách Tài khoản Gmail và. Trước tiên, hãy đảm bảo người kiểm thử có quyền truy cập vào bản phát hành của bạn. Xuất bản ứng dụng của bạn lên kênh thử nghiệm nội bộ hoặc kênh thử nghiệm mà bạn muốn. Sau đó, hãy làm theo hướng dẫn về cách quản lý người thử nghiệm bằng địa chỉ email hoặc sử dụng Google Groups để người thử nghiệm có thể truy cập vào bản phát hành.

Cách thiết lập thử nghiệm:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Play Integrity API".
3. Nhấp vào Quản lý.
4. Di chuyển đến mục "Thử nghiệm".
5. Nhấp vào Tạo thử nghiệm mới.
6. Chọn một danh sách email hoặc tạo danh sách mới.
7. Nhấp vào Tạo thử nghiệm.

Tuỳ chỉnh trang thông tin trên Cửa hàng Google Play khi người dùng truy cập qua hộp thoại Integrity API

Bạn có thể sử dụng hộp thoại về biện pháp khắc phục của Integrity API để nhắc những người dùng đã tải ứng dụng của bạn từ nguồn không chính thống về việc tải ứng dụng của bạn qua Google Play. Khi người dùng nhấn vào hộp thoại đó, họ sẽ được chuyển hướng đến trang thông tin của bạn trên Cửa hàng Google Play. Tại đây, họ có thể nhấn vào nút cài đặt (hoặc mua/cập nhật) để thêm ứng dụng vào thư viện Play của người dùng.

Bạn có thể tuỳ chỉnh các thành phần của trang thông tin trên Cửa hàng Google Play cho bất cứ khách truy cập nào nhấn vào hộp thoại về biện pháp khắc phục của Integrity API, chẳng hạn như tên, biểu tượng, nội dung mô tả và thành phần đồ hoạ của ứng dụng. Cách tuỳ chỉnh trang thông tin trên Cửa hàng Play khi người dùng truy cập qua hộp thoại Integrity API:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Play Integrity API".
3. Nhấp vào Quản lý.
4. Di chuyển đến phần "Tuỳ chỉnh trang thông tin trên Cửa hàng Play".
5. Nhấp vào Tạo trang thông tin.
6. Làm theo hướng dẫn trên trang Tạo trang thông tin tuỳ chỉnh trên Cửa hàng Play rồi nhấp vào Lưu.

Ngoài ra, bạn có thể tạo trang thông tin tuỳ chỉnh trên Cửa hàng Play cho hộp thoại Integrity API ngay trên trang Trang thông tin tuỳ chỉnh trên Cửa hàng Play:

1. Mở Play Console rồi chuyển đến trang Trang thông tin tuỳ chỉnh trên Cửa hàng Play (Tăng lượng người dùng > Trang thông tin tuỳ chỉnh trên Cửa hàng Play).
2. Nhấp vào Tạo trang thông tin, chọn tạo trang thông tin mới hoặc tạo bản sao của một trang thông tin hiện có, rồi nhấp vào Tiếp theo.
3. Trong phần "Chi tiết trên trang thông tin", hãy tìm mục "Đối tượng mục tiêu".
4. Chọn Theo URL rồi nhập "playintegrity" vào hộp văn bản.
5. Nhập tất cả thông tin chi tiết khác rồi nhấp vào Lưu.

Lưu ý: Tham số URL "playintegrity" là một từ khoá đặc biệt dành riêng cho đường liên kết sâu về tính toàn vẹn. Vì vậy, bạn phải nhập chính xác tham số này khi thiết lập trang thông tin tuỳ chỉnh trên Cửa hàng Play.

Tăng số yêu cầu tối đa hằng ngày của Play Integrity API

Theo mặc định, các ứng dụng có thể gửi tối đa 10.000 yêu cầu mỗi ngày tới Integrity API.

Cách xem số lượng yêu cầu mà ứng dụng gửi mỗi ngày:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Theo dõi trạng thái của Play Integrity API".
3. Nhấp vào thẻ giám sát để mở báo cáo Integrity API và xem số lượng yêu cầu hằng ngày.

Cách xem số lượng yêu cầu tối đa hằng ngày của ứng dụng:

1. Mở Play Console rồi chuyển đến mục Được bảo vệ bằng Play trong trình đơn bên trái.
2. Di chuyển đến mục "Play Integrity API".
3. Nhấp vào Quản lý.
4. Xem hạn mức hằng ngày.

Bạn có thể yêu cầu thực hiện hơn 10.000 yêu cầu mỗi ngày. Để đủ điều kiện, bạn phải:

• Xác nhận đã triển khai logic API chính xác, bao gồm cả lượt thử lại.
• Phát hành ứng dụng của bạn lên Google Play, ngoài những kênh phân phối khác.

Để tăng số yêu cầu tối đa hằng ngày của bạn, hãy hoàn tất biểu mẫu này.

Nội dung liên quan

• Đọc tài liệu dành cho nhà phát triển về Play Integrity API
• Xem video tổng quan về Play Integrity API
• Tìm hiểu về Tính năng Được bảo vệ bằng Play trong Play Console.
• Tìm hiểu về tinh năng Được bảo vệ bằng Play trên trang web dành cho nhà phát triển Android