可能面临的风险

网络方面

1.窃听风险（eavesdropping）：第三方可以获知通信内容。
2.篡改风险（tampering）：第三方可以修改通信内容。
3.冒充风险（pretending）：第三方可以冒充他人身份参与通信。

本地方面

1.数据窃取，主要是对我们资源包括3d模型，声音，UI，图像的保护。其次是对我们一些重要信息保护，比如验证的登录密码。
2.源码被盗，分为两步分，一部分对我们lua逻辑源码保护，另一部分对我们框架源码保护。
3.二次打包，主要在安卓部分，防止篡改逻辑，加入广告，收集数据之类的攻击，ios主要在越狱机器上会有这个风险。
4.内存修改，目前重要数据修改都是要通过服务器验证，所以这个问题不严重。
5.动态注入攻击，主要保护动态库的安全，防止注入篡改逻辑，跳过验证之类。

加固方案

网络方面

1.针对这类问题应该直接使用https加入ssl验证，或者自定客户端和服务器双向验证加密我们的数据。在数据传输阶段达到一个比较安全的程度。
2.针对IM也同时应该加密，不过服务器那边如果加入SSH验证会很大影响服务器效率，所以目前待解。

本地方面

本地资源和重要数据

资源和业务源码都是同一类本地资源，目前是用秘钥使用对称加密的方式加密，在运行时进行解密。所以重要的是对秘钥的保护。同理自动登录保存的秘钥一样。

IOS

在ios下，目前登录密码使用md5加密保存在ios系统下的keychain。在正常系统下，比较安全。但在越狱机器上，黑客可以很容易的获取到里面的数据，所以建议：保存在keychain里的秘钥，应该不是最终使用的登录密码，应该增加加密机制，在运行时生成。

对资源加解密的秘钥直接硬编码在代码里，这也是非常不安全的，目前有两个建议
1.统一从服务器获取，然后加密后保存在keychain,同样在运行时生成，将安全等级提升到登录验证等级。
2.将硬编码的秘钥不要明文保存，分散隐藏在代码中，利用一系列算法，在运行时生成。

更高级一点的加密方式，不在内存中使用明文秘钥，使用白盒加密秘钥

白盒加密技术的核心思想是把秘钥隐藏起来, 加密执行过程中, 内存中不会出现秘钥的值. 现在通用的技术是查找表技术, 即把秘钥隐藏在查找表中,可以看看Chow的关于白盒AES的奠基性文章white-box cryptography and an aes implementation, 国内也有人做, 看看肖雅莹的毕业论文"白盒密码及AES与SMS4算法的实现"可以对白盒加密有一个感性的认识. 所以, 通过查找表技术隐藏秘钥, 使得攻击者逆向也好, dump内存也罢, 就不会直接看到秘钥的值, 这跟把秘钥放到so中增加逆向分析难度有质的区别. 白盒加密的攻击需要从数学理论上去分析, 这无疑会极大增加破解难度. 白盒加密的研究现状是公布出来的论文并不多, 给你一个参考网址, http://www.whiteboxcrypto.com/. 我相信国内外都有安全公司和实验室在研究白盒加密, 只不过都没公布出来. 从移动互联网到IoT领域, 终端安全问题会越来越突出, 预测白盒加密这种软件解决方案会越来越重要, 因为成本更低. 白盒加密的安全度目前来看是可以值得信任的, 当然这个世界上没有绝对的安全, 白盒加密也会被破, 就是攻击成本的问题啦.

Android

使用Android自身的密钥库（KeyStore）。在某些拥有硬件加密的机器上，可以得到更好的安全性，特性有：
1，密钥材料可以绑定安全硬件
2，密钥材料无法导出设备
3，密钥材料永远不进入应用进程，加解密和签名时仅仅利用系统进程完成。最极端情况下即使应用进程被破解，攻击者也最多能用密钥来加解密，但不能导出密钥材料
不同的是，android没有一个系统位置保存秘钥，只有一个系统级加密库，能保证加解密过程不被破解。所谓硬件加密，指加密到Trusted Execution Environment (TEE) or Secure Element
(SE)。TEE是主处理器上的一个隔离区域，SE是一个芯片，TEE比SE功能更强。

二次打包的防护

篡改检测 检测只是一个过程，有大量的同类的攻击包括二次打包，动态注入，后面有对这类攻击的解决办法。

IOS

Android

主要可以做的有
1.检查APK的签名
2.校验APK的完整性
3.校验classes.dex文件的完整性
这类情况都是被篡改。

对静态分析的防护

对抗反编译

我们被反编译风险主要在最上层的高级语言，oc和java，对于这部分没有办法保证真的安全，只能这增加分析难度，隐藏我们程序的入口。对OC和java代码都应该做混淆。
需要注意的是，重要的逻辑不要再oc和java直接实现，目前我们没有这个风险。
lua代码如果可能也应该做混淆，当源码真的泄露，也能增加分析复杂度。

其次内存安全需要特别注意，在
1.在任何认证和数据加密之前。永远不要再内存中存储任何数据。
2.不要用oc或者java实例变量存储秘钥和重要数据，应该手动申请内存来存储，同时也要手动释放。
3.同样不要用实例存储秘钥和数据的指针
4.任何时候，当重要数据不要被需要的时候，立即对其清理。比如，当应用从后台挂起的时候。
重要的数据也不要用oc和java的变量保存，内存应该手动申请

高级一点方法，获取已知反编译工具的漏洞，利用这些漏洞，让反编译我们程序时自动抛出异常。

对抗静态分析

除了必要的混淆代码，C/C++代码分析非常困难，目前可以用的防护
1.去除符号，增加复杂度。

对抗动态分析

阻止调试器

IOS有自己特性可以直接在程序开始就阻止调试器，对初级攻击者有明显的防护作用。

检测调试器

通过使用内联函数，在程序各个地方隐藏检查点，检查出篡改可能。

运行库完整检查

可以通过检查内存地址空间，检查运行库的完整，查出篡改可能。

篡改响应

当检测到程序被篡改或者攻击时，直接拒绝执行。同时也可使用一些隐藏防护手段，迷惑攻击者。
1.擦除用户数据
2.禁止网络访问,阻止在程序里调试到服务器
3.报告机制，收集攻击信息到服务器