公司创建一个项目并获得一个发送者ID。公司创建一个应用程序,内置其发送者ID,并将应用程序放置在商店中。
攻击者反向工程该应用程序并提取了发送者ID和用于接收GCM注册ID的服务器接口。
攻击者创建自己的应用程序,内置公司的发送者ID和服务器注册接口,并将应用程序放置在商店中。这个攻击应用程序基本上在GCM方面冒充了公司的真实应用程序:它注册以接收来自公司发送者ID的消息,并像“真实”应用程序一样将其GCM注册ID发送到公司的服务器。
现在公司想要向其所有应用程序实例广播一些信息。也许是提醒更新可用。有没有办法区分“攻击应用程序”(像真实应用程序一样注册)和公司应用程序的“真实”版本?