🧩 앱 난독화가 무엇인지 알아보자 !

1️⃣ 앱 축소, 난독화 및 최적화

---

• gradle 3.4.0 이상으로 프로젝트를 빌드하는 경우, 플러그인은 프로가드를 사용하여 컴파일 시간 코드 최적화를 하지 않고, R8 컴파일러를 사용하여 컴파일 시간 코드 최적화 작업을 한다고 합니다.
• 빌드 시간 증가 및 개발자의 설정 미스로 인한 버그 발생 가능성이 있어, Android 스튜디오를 이용하여 새 프로젝트를 만들 때 축소, 난독화 및 코드 최적화 기능이 기본으로 사용 설정되는 것은 아닙니다.
  • 따라서, 앱의 최종 버전을 빌드할 때 이러한 컴파일 시간 작업을 사용 설정하는 것이 가장 좋습니다.

R8이란 ?

• R8은 프로젝트의 자바 바이트 코드를 Android 플랫폼에서 실행되는 DEX 형식으로 변환하는 기본 컴파일러입니다.
• R8은 프로가드 규칙 파일을 사용합니다.

R8이 하는 일

• 코드 축소 (Tree shaking)
  • 사용하지 않는 코드를 삭제합니다.
  • 런타임에 필요하지 않다고 R8이 판단한 코드를 삭제하는 프로세스
    • 앱 및 라이브러리 종속 항목에서 미사용 클래스, 필드, 메서드, 속성
• 리소스 축소
  • 사용하지 않는 리소스를 삭제합니다.
    • 앱 라이브러리 종속 항목의 미사용 리소스를 포함하여 패키징된 앱에서 사용하지 않는 리소스
  • 리소스 축소는 코드 축소와 함께 사용할 때만 작동합니다
• 난독화
  • 클래스와 멤버 이름을 줄입니다.
  • 난독화의 목적은 앱 클래스, 메서드 및 필드의 이름을 단축하여 앱 크기를 줄이는 것입니다.
  • 결론적으로 난독화는 DEX 파일 크기를 줄입니다.
• 최적화
  • 코드 검사 및 다시 작성합니다.
  • DEX 파일 크기를 더 줄입니다.

keep 규칙 ‼️

• 개발자가 유지할 코드를 적절하게 맞춤설정하는 것을 의미합니다.
  • 즉, keep 규칙은 앱을 축소할 때 R8이 삭제하면 안 되는 클래스를 지정하고 R8은 이 클래스를 앱의 진입점으로 사용할 수 있다고 간주합니다.

    keep 규칙과 관련된 R8의 동작방식
    

    1. 앱 코드를 축소하기 위해 R8은 먼저 결합된 구성 파일 조합을 기반으로 앱 코드의 모든 진입점을 결정합니다.
       • 이 진입점에는 Android 플랫폼이 앱의 활동 또는 서비스를 여는 데 사용할 수 있는 모든 클래스가 포함됩니다.
    2. R8은 각 진입점에서 시작하여 앱의 코드를 검사해 앱이 런타임에 액세스할 수 있는 모든 메서드, 멤버 변수 및 기타 클래스의 그래프를 작성합니다.
    3. 그래프에 연결되지 않은 코드는 연결할 수 없는 것으로 간주되며 앱에서 삭제될 수 있습니다.

• ProGuard 규칙 파일에 keep 줄을 추가
• 유지하려는 코드에 @Keep 주석을 추가
  • 전체 클래스가 그대로 유지됨 (메서드,필드,클래스 이름이 그대로 유지됨)
• 이러한 keep 규칙은 R8이 코드를 앱의 최종 DEX에 유지할 뿐만 아니라 원래 이름 지정을 유지하도록 합니다.

2️⃣ 그래서 난독화가 무엇이고 왜 해야하나요 ?

---

먼저 앱의 용량과 관련이 있습니다. 사용자가 매력적인 앱이라고 받아드리는 요소 중 하나는 앱의 크기입니다. 공식문서에선 앱의 크기를 최대한 작게 만들기위한 방법으로 코드 및 리소스 축소/ 난독화/ 최적화의 방법을 소개하고 있습니다.

각 방법은 아래와 같이 정리할 수 있습니다.

• 앱 축소 (코드 축소, 리소스 축소) : 사용되지 않는 코드와 리소스를 삭제하여, DEX 파일 크기를 줄입니다.
• 난독화 : 앱 클래스, 메서드 및 필드의 이름을 단축하여 , DEX 파일 크기를 줄입니다.
• 최적화 : 코드를 검사하여 불필요한 구문을 개선하여, DEX 파일 크기를 줄입니다.

이 중 제가 원래 궁금했던, 그래서 난독화를 왜 해야하나요? 의 질문으로 돌아오자면, 앱 용량 뿐만아니라 보안의 관점에서 난독화는 필수적이기도합니다.

난독화의 원래 목적은 앱 클래스, 메서드 및 필드의 이름을 단축하여 앱 크기를 줄이는 것입니다. DEX 파일은 다수의 클래스, 멤버에 대한 색인을 생성합니다. 코드 자체를 삭제하지는 않지만, 클래스와 멤버의 긴 이름을 단축하므로서, 앱 크기를 단축시킬 수 있게 된다는 말입니다.

여기서 난독화 방식의 핵심인 임의로 이름을 단축,치환시키는 방법에 대해 주목해보면, 보안의 관점에서 난독화의 필요성을 이해할 수 있게됩니다.

왜 난독화를 해야하나요 ?

• 앱 용량을 줄이기 위해
• 지적재산권을 보호하기 위해 (디컴파일로 인한 코드 복구의 피해를 예방)
• 원치않는 위변조를 방지하기 위해
• 정보 유출을 방지하기 위해 (base url 등)

3️⃣ 난독화하는 방법

---

• 리소스 축소는 코드 축소와 함께 사용할 때만 작동합니다
• build.gradle 파일에서 shrinkResources 속성을 true로 설정

  android {
      ...
      buildTypes {
          release {
              shrinkResources true // 리소스 축소 true
              minifyEnabled true // 코드 축소 true
              proguardFiles
                  getDefaultProguardFile('proguard-android.txt'),
                  'proguard-rules.pro'
          }
      }
  }

  • 리소스 제거를 시작하기 전에 동적으로 생성되거나 호출되는 클래스나 메서드를 유지하려면 proguard-rules.pro 파일을 수정할 필요가 있습니다.

#️⃣ Reference

---

• Android 공식문서