Použití rozhraní Play Integrity API k odhalování rizikových interakcí a boji proti zneužívání

Pomocí rozhraní Play Integrity API můžete chránit své aplikace a hry před rizikovými interakcemi. Pokud takovéto interakce rozpoznáte, bude vaše aplikace moci náležitě reagovat a snížit riziko útoků a zneužití.

Jak to funguje

Rozhraní Play Integrity API pomáhá chránit aplikace a hry před zneužitím tím, že kontroluje, zda interakce uživatelů a požadavky na server pocházejí z neupraveného binárního kódu aplikace nainstalovaného z Google Play a spuštěného na originálním zařízení Android (nebo v originální instanci Google Play Games na počítači). detekce široké škály hrozeb, jako jsou upravené verze aplikace, nedůvěryhodná zařízení nebo jiná nedůvěryhodná prostředí, vám umožní náležitě reagovat a snížit riziko útoků, jako jsou podvody, podvádění a neoprávněný přístup.

Když uživatel provede akci, aplikace požádá o posouzení pomocí rozhraní Play Integrity API. Server Google Play vrátí zašifrovanou odpověď s verdiktem ohledně integrity, kterou vaše aplikace předá vašemu serveru k ověření. Váš backendový server na základě tohoto verdiktu rozhodne, co má aplikace nebo hra udělat dál.

Rozhraní API vrací verdikty, které vám pomohou odhalit potenciální hrozby, včetně těchto:

• Neoprávněný přístup: Verdikt accountDetails vám pomůže zjistit, zda uživatel aplikaci nebo hru nainstaloval z Google Play nebo za ni na Google Play zaplatil.
• Neoprávněná manipulace s kódem: Verdikt appIntegrity vám pomůže zjistit, zda interagujete s neupraveným binárním kódem, jak ho zná Google Play.
• Riziková zařízení a emulovaná prostředí: Verdikt deviceIntegrity vám pomůže zjistit, zda aplikace běží na originálním certifikovaném zařízení Android nebo v originální instanci Google Play Games na počítači.

Klíčový bod: Když rozhraní Play Integrity API vyhodnocuje prostředí, používá hardwarové bezpečnostní signály, které jsou vysoce odolné vůči útokům a obcházení. Rozhraní Play Integrity API zjednodušuje vývojářům práci s integrací a průběžnou správou tím, že abstrahuje složitost signálů a řešení problémů napříč verzemi sady Android SDK, klíči od výrobců zařízení a modely zařízení.

Vývojáři na Google Play se také mohou přihlásit k odběru dalších verdiktů, které jim pomohou odhalit širší škálu potenciálních hrozeb, včetně těchto:

• Zařízení bez oprav: Odpověď MEETS_STRONG_INTEGRITY ve verdiktu deviceIntegrity vám pomůže zjistit, zda zařízení použilo nedávné aktualizace zabezpečení (u zařízení se systémem Android 13 a novějším).
• Rizikový přístup jiných aplikací: Hodnota appAccessRiskVerdict vám pomůže zjistit, zda jsou spuštěny aplikace, které by mohly být použity k zaznamenávání obsahu obrazovky, zobrazování překryvných vrstev nebo ovládání zařízení (například zneužitím oprávnění pro usnadnění přístupu).
• Známý malware: Hodnota playProtectVerdict vám pomůže zjistit, zda je zapnutá služba Google Play Protect a zda v zařízení nenašla rizikové nebo nebezpečné aplikace.
• Hyperaktivita: Úroveň recentDeviceActivity vám pomůže zjistit, zda zařízení v poslední době neodeslalo neobvykle vysoký počet požadavků, což může značit automaticky generovanou návštěvnost a může to být známka útoku.
• Opakované zneužívání a znovu použitá zařízení: Hodnota deviceRecall (beta) vám pomůže zjistit, zda neinteragujete se zařízením, které jste dříve nahlásili (i v případě, že byla aplikace přeinstalována nebo bylo zařízení resetováno).

Rozhraní API lze použít pro různé typy zařízení s Androidem, včetně telefonů, tabletů, rozkládacích zařízení, Android Auto, Android TV, Android XR, ChromeOS, Wear OS a Google Play Games na počítači.

 

Tipy:

• Stav rozhraní Play Integrity API a dalších služeb Play můžete sledovat pomocí panelu stavu Google Play.
• Největší hodnotu vaší aplikaci rozhraní Integrity API přinese, když se budete řídit doporučenými postupy v dokumentaci na webu Android Developers.

Nastavení a správa rozhraní Play Integrity API

Aktivace rozhraní Integrity API pro aplikaci

Důležité: Používáním rozhraní Integrity API vyjadřujete souhlas se smluvními podmínkami rozhraní Play Integrity API.

Pokud u aplikace chcete aktivovat odpovědi rozhraní Integrity API, je třeba v Play Console nastavit propojení s projektem Google Cloud. Postup připojení projektu:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce Play Integrity API.
3. Klikněte na Začínáme.
4. Vyberte možnost Připojení existujícího projektu a projekt, se kterým chcete aplikaci propojit.
5. Klikněte na Připojit cloudový projekt.

Pokud do aplikace chcete integrovat rozhraní Integrity API, je třeba provést následující kroky:

• U aplikací v Javě/Kotlinu si z repozitáře Maven společnosti Google nainstalujte nejnovější dostupnou knihovnu Android pro rozhraní Play Integrity API.
• V případě her pro Unity si nainstalujte nejnovější vydání pluginů Google Play pro Unity. Jsou podporovány všechny verze 2019.x, 2020.x a novější. Pokud používáte Unity 2018.x, nainstalujte 2018.4 nebo novější. Pokud používáte Unity 2017.x, nainstalujte 2017.4.40 nebo novější. Unity 5.x a starší nejsou podporovány.
• U nativních aplikací a her nainstalujte nejnovější sadu Play Core Native SDK.

Nyní ve své aplikaci nebo hře můžete rozhraní Play Integrity API začít používat podle těchto pokynů na webu Android Developers.

(Volitelné) Přizpůsobení odpovědí rozhraní Integrity API

Informace o tom, jak nakonfigurovat odpovědi týkající se integrity rozhraní API, najdete na webu Android Developers.

Úprava odpovědí rozhraní API:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce Play Integrity API.
3. Klikněte na Spravovat.
4. Přejděte dolů do sekce Odpovědi.
5. Klikněte na Upravit.
6. Zaškrtněte nebo zrušte zaškrtnutí políček vedle odpovědí rozhraní API, které chcete změnit.
7. Klikněte na Uložit změny.

Důležité: Změny odpovědí rozhraní API se projeví okamžitě po uložení, včetně případů, kdy je aplikace v produkčním kanálu. Před změnou sady odpovědí rozhraní API v Play Console zajistěte, aby byl váš server připraven nové odpovědi přijmout.

(Volitelné) Konfigurace nastavení klasických požadavků

Ve výchozím nastavení u klasických požadavků spravuje šifrování odpovědí Google. Pokud chcete, můžete však šifrování odpovědí spravovat sami.

Důležité: Přepnutí šifrováním odpovědí spravovaným společností Google a šifrováním odpovědí spravovaným vývojářem vyžaduje změny kódu na backendovém serveru.

Pokud chcete šifrování odpovědí spravovat sami:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce Play Integrity API.
3. Klikněte na Spravovat.
4. Přejděte do sekce Play Integrity API. Vedle položky Šifrování odpovědí bude ve výchozím nastavení uveden stav „Spravováno Googlem“. Klikněte na Změnit.
5. Vyberte možnost Spravovat a stáhnout šifrovací klíče pro odpovědí. Google vygeneruje šifrovací klíče pro odpovědi a vy si je stáhnete a budete je spravovat. Logiku svého backendového serveru musíte aktualizovat tak, aby odpovědi dešifroval pomocí těchto klíčů.
6. Podle pokynů na obrazovce vygenerujte soubor .pem a nahrajte soubor .pem ke stažení klíčů rozhraní API.
7. Klikněte na Uložit změny.
8. Na obrazovce se zobrazí potvrzení, že správa šifrování odpovědí byla aktualizována.
9. Automaticky se stáhnou nové šifrovací klíče pro odpovědi. V budoucnu si je můžete kdykoli stáhnout kliknutím na Stáhnout klíče.

Pokud se od klíčů, které spravujete sami, chcete vrátit ke klíčům spravovaným Googlem:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce Play Integrity API.
3. Klikněte na Spravovat.
4. Přejděte do sekce Play Integrity API. Vedle položky Šifrování odpovědí bude uveden stav Spravováno vývojářem, protože jste ji v minulosti změnili. Klikněte na Upravit.
5. Vyberte „Nechat šifrování odpovědí spravovat Google (doporučeno)“ a klikněte na Uložit změny. Šifrovací klíče bude generovat a spravovat Google. Váš backendový server musí k dešifrování odpovědí volat server služby Google Play.

Testování integrace rozhraní Play Integrity API

Pokud chcete otestovat integraci rozhraní Integrity API, můžete nastavit seznam účtů Gmailu. Nejdříve zkontrolujte, jestli mají testeři k vydání přístup: Publikujte aplikaci v kanálu interního testování nebo v kanálu, ve kterém testování chcete provádět. Poté postupujte podle pokynů pro správu testerů pomocí e‑mailových adres nebo pomocí Skupin Google, aby testeři k vydání měli přístup.

Postup nastavení testu:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce Play Integrity API.
3. Klikněte na Spravovat.
4. Přejděte dolů do sekce Testování.
5. Klikněte na Vytvořit nový test.
6. Vyberte seznam e‑mailů nebo vytvořte nový.
7. Klikněte na Vytvořit test.

Přizpůsobení záznamu v obchodě, když ho uživatelé navštíví z dialogového okna rozhraní Integrity API

Pomocí dialogového okna nápravy rozhraní Integrity API můžete vyzvat uživatele, kteří vaši aplikaci získali neoficiálně, aby si ji stáhli z Google Play. Když uživatelé klepnou na dialogové okno, budou přesměrováni na váš záznam v obchodě, kde si ji můžou klepnutím na tlačítko Instalovat (nebo Koupit či Aktualizovat) přidat do své knihovny Play.

Podklady záznamu v obchodě můžete přizpůsobit pro všechny návštěvníky, kteří klepnou na dialogové okno nápravy rozhraní Integrity API, včetně názvu aplikace, ikony, popisů a grafických podkladů. Postup přizpůsobení záznamu v obchodě, když ho uživatel navštíví z dialogového okna rozhraní Integrity API:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce Play Integrity API.
3. Klikněte na Spravovat.
4. Přejděte do sekce Přizpůsobení záznamu v obchodu.
5. Klikněte na Vytvořit záznam.
6. Postupujte podle pokynů na stránce Vytvoření vlastního záznamu v obchodu a klikněte na Uložit.

Alternativně můžete vytvořit vlastní záznamy v obchodu pro dialogová okna rozhraní Integrity API přímo ze stránky Vlastní záznamy v obchodu:

1. Otevřete Play Console a přejděte na stránku Vlastní záznamy v obchodu (Zvýšení počtu uživatelů > Vlastní záznamy v obchodu).
2. Klikněte na Vytvořit záznam, zvolte, zda chcete vytvořit nový záznam nebo zda chcete duplikovat existující záznam a klikněte na Další.
3. V sekci Podrobnosti o záznamu vyhledejte sekci Cílové publikum.
4. Vyberte možnost Podle adresy URL a do textového pole zadejte „playintegrity“.
5. Zadejte všechny ostatní údaje a klikněte na Uložit.

Tip: Parametr adresy URL playintegrity je speciální klíčové slovo vyhrazené pro přímé odkazy z kontroly integrity, takže ho při nastavování vlastního záznamu v obchodu musíte zadat přesně.

Zvýšení denního limitu počtu požadavků na rozhraní Play Integrity API

Ve výchozím nastavení mohou aplikace do rozhraní Integrity API odesílat až 10 000 požadavků denně.

Pokud chcete zjistit, kolik požadavků aplikace denně odesílá, postupujte takto:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce ke sledování Play Integrity API.
3. Kliknutím na kartu sledování otevřete přehled rozhraní Integrity API a zobrazte si denní počet požadavků.

Postup zobrazení denního limitu počtu požadavků aplikace:

1. Otevřete Play Console a v nabídce vlevo přejděte na Ochrana od Google Play.
2. Přejděte do sekce Play Integrity API.
3. Klikněte na Spravovat.
4. Zobrazte si denní kvótu.

Můžete požádat o možnost odesílat více než 10 000 požadavků denně. Podmínky:

• Musíte doložit, že máte správně implementovanou logiku rozhraní API, včetně opakovaných pokusů.
• Kromě jiných distribučních kanálů musíte aplikaci publikovat také na Google Play.

Pokud chcete požádat o zvýšení denního limitu počtu požadavků, vyplňte tento formulář.

Související obsah

• Dokumentace rozhraní Play Integrity API pro vývojáře
• Souhrnné video o rozhraní Play Integrity API
• Ochrana od Google Play v Play Console
• Ochrana od Google Play na webu Android Developers