Sobre la capacidad de ingeniería inversa de la API privada de Instagram

Sí, una vez que liberas una aplicación, no tienes control sobre lo que las personas hacen con ella. Puede ofuscar o preprocesar el código para que sea más difícil descubrir las cosas, pero, por definición, debe ser ejecutable y accesible para el procesador subyacente. Con suficiente tiempo y esfuerzo, alguien siempre puede descubrir cualquier cosa que esté incrustada en la aplicación. Esto se aplica a cualquier tipo de aplicación: aplicación móvil, aplicación de escritorio, aplicación de consola. Si todo lo demás falla, un atacante realmente determinado podría emular el procesador y desechar lo que sucede.

No, pero los métodos de ataque cambian. Tomando el ejemplo de Instagram, si tiene una aplicación web, las comunicaciones pueden enviarse a través de un canal cifrado, pero es posible que no puedan controlar la fuente de las comunicaciones. Sería difícil distinguir entre la aplicación legítima y la de un tercero. Para algunas empresas, esto es importante (por ejemplo, si muestran anuncios en su aplicación oficial). Por otro lado, con una aplicación móvil, sería posible proporcionar, por ejemplo, verificación de certificado, donde el servidor y el cliente se verifican mutuamente. En este caso, sería posible eliminar un certificado comprometido en el lado del servidor, aunque esto podría interrumpir a los usuarios que no han actualizado sus aplicaciones.

En el primer caso, los ataques se concentrarían en identificar llamadas válidas al sistema backend y luego intentar abusar de eso. En el segundo caso, los ataques inicialmente intentarían extraer el certificado, pero en ese proceso probablemente encontrarían las llamadas.