Crypto chat with VK API Technologies

Омаров Магомед Шамилович

Студент 4го курса У-351гр

ФКТВТиЭ

Крипто чат с использованием технологий VK API

Crypto chat with VK API Technologies

Аннотация. Статья посвящена описанию программной системы, разработанной на языке Java для мобильной платформы Android, для шифрования передаваемой текстовой информации с использованием ассиметричного или симметричного алгоритма шифрования с использованием технологий VK API

Ключевые слова: Информационная безопасность, крипто чат, криптография, шифрование, RSA, XOR, DES, AES

Description. The article describes a software system developed in Java for the Android mobile platform, which encrypts the messages using asymmetrical or symmetrical encryption with VK API technologies

Keywords: Information security, crypto chat, cryptography, encryption, RSA, XOR, DES, AES

Программная система состоит из сервера VK и клиентского мобильного приложения, разработанного для платформы Android.

API (application programming interface) — это посредник между разработчиком приложений и какой-либо средой, с которой это приложение должно взаимодействовать. API упрощает создание кода, поскольку предоставляет набор готовых классов, функций или структур для работы с имеющимися данными.

1. Методы и объекты

API ВКонтакте — это интерфейс, который позволяет получать информацию из базы данных vk.com с помощью http-запросов к специальному серверу. Вам не нужно знать в подробностях, как устроена база, из каких таблиц и полей каких типов она состоит — достаточно того, что API-запрос об этом «знает». Синтаксис запросов и тип возвращаемых ими данных строго определены на стороне самого сервиса.

Например, для получения данных о пользователе с идентификатором 210700286 необходимо составить запрос такого вида:

 

https://api.vk.com/method/users.get?user_id=210700286&v=5.52

 

Рассмотрим отдельно все его составляющие.

https:// — протокол соединения.

api.vk.com/methods — адрес API-сервиса.

users.get — название метода API ВКонтакте. Методы представляют собой условные команды, которые соответствуют той или иной операции с базой данных — получение информации, запись или удаление. Например, users.get — метод для получения информации о пользователе, video.add — метод для добавления видеозаписи в свой список, likes.delete — метод для удаления отметки «Мне нравится».

 

Все методы разделены на секции. Например, для работы с сообществами Вам нужны методы секции groups, для работы с фотографиями — photos, и так далее. Полный список методов по секциям доступен на этой странице.

?user_id=210700286&v=5.52 — параметры запроса. После названия метода нужно передать его входные данные (если они есть) — как обычные GET-параметры в http-запросе. В нашем примере мы сообщаем серверу, что хотим получить данные о пользователе с id=210700286 и формат этих данных должен соответствовать версии API 5.52 (о версиях мы еще поговорим позже). Входные параметры всегда перечислены на странице с описанием метода.

 

В ответ сервер вернет JSON-объект с запрошенными данными (или сообщение об ошибке, если что-то пошло не так). JSON — это формат записи данных в виде пар «имя свойства»: «значение».

 

Ответ на наш запрос выглядит так:

{"response":[{"id":210700286,"first_name":"Lindsey","last_name":"Stirling"}]}

Структура ответа каждого метода также строго задана, и при работе с API Вы заранее знаете, что в поле id придет число, а в поле first_name — строка. Такие правила оговариваются на страницах с описанием метода и соответствующих объектов, которые он возвращает в ответе. Например, users.get — здесь описаны входные параметры метода и структура его ответа, а здесь — user подробно расписано каждое поле объекта из ответа.

 

Объект из ответа может быть не уникален для конкретного метода. Например, объект пользователя с набором полей, содержащих данные о его образовании, возрасте, интересах, может возвращаться в ответе от методов users.get, users.search, groups.getMembers и еще нескольких.

 

ВКонтакте — социальная сеть, где есть дружеские связи, настройки приватности и даже черные списки. Многое зависит от того, кто просматривает страницу: кто-то увидит на ней всю ту же информацию, что и владелец, а кто-то — лишь общедоступные данные.

 

В API этот принцип сохраняется. Если Вы скрыли список своих групп от не-друзей, то и через API Ваши не-друзья не должны его увидеть. Поэтому почти все методы требуют авторизации пользователя перед началом работы.

В общем случае для идентификации в API используется специальный ключ доступа, который называется access_token. Токен — это строка из цифр и латинских букв, которую Вы передаете на сервер вместе с запросом. Из этой строки сервер получает всю нужную ему информацию. Есть разные способы получения токена, более того, он может быть выдан не только пользователю, но и сообществу, и сразу всему приложению.

В данной программой системы использован самый простой способ Implicit flow.

Программный код для получения токена имеет след вид:

1. public class auth extends AppCompatActivity {
2. …
3. WebView wb = (WebView) findViewById(R.id.web);
4. WebSettings webSettings = wb.getSettings();
5. webSettings.setJavaScriptEnabled(true);
6. SimpleWebViewClient webViewClient = new SimpleWebViewClient();
7. wb.setWebViewClient(webViewClient);
8. wb.loadUrl("https://oauth.vk.com/authorize?client_id=5213947&redirect_uri=oauth.vk.com/blank.html&display=mobile&scope=4098&&response_type=token&v=5.58");
9. …}

После перехода по данному адресу браузер созданный внутри приложения выведет сообщение, предостерегающее нас от передачи адреса браузера на сторонние сервисы, т.к. есть риск утери данных

Для получения токена из адресной строки используется функция GetToken.

1. public void GetToken (View view) {
2. WebView wb = (WebView) findViewById(R.id.web);
3. token = wb.getUrl().toString().split("=")[1].toString().split("&")[0];
4. Snackbar.make(view, "Получаю токен...", Snackbar.LENGTH_LONG).setAction("Action", null).show();

5. wb.setVisibility(View.INVISIBLE); }

Токен — это Ваш ключ доступа. При выполнении определенных условий человек, получивший Ваш токен, может нанести существенный ущерб Вашим данным и данным других людей. Поэтому очень важно не передавать свой токен третьим лицам. В данной системе токен хранится в глобальной переменной token.

 

Поле expires_in содержит время жизни токена в секундах. 86400 секунд — это ровно сутки. Через сутки полученный токен перестанет действовать, для продолжения работы нужно будет получить новый. Есть возможность получить токен без срока действия — для этого в scope добавьте значение offline.

Поле user_id содержит id пользователя, для которого получен токен.

 

Для загрузки списка друзей используем подкласс супер класса AssyncTask GetFriends.

1. class GetFriend extends AsyncTask<String, Void, String> {
3. @Override
4. protected void onPreExecute() {
5. super.onPreExecute();
6. }
9. @Override
10. protected String doInBackground(String... params) {
11. StringBuilder sb = new StringBuilder();
12. try {
13. HttpURLConnection connection = (HttpURLConnection) newURL(params[0]).openConnection();
14. connection.connect();
15. InputStream inputStream =connection.getInputStream();
16. BufferedReader reader = newBufferedReader(new InputStreamReader(inputStream));
17. String line = null;
18. while ((line = reader.readLine())!=null) {
19. sb.append(line);
20. }
22. TimeUnit.SECONDS.sleep(2);
23. } catch (InterruptedException e) {
24. e.printStackTrace();
25. } catch (MalformedURLException e) {
26. e.printStackTrace();
27. } catch (IOException e) {
28. e.printStackTrace();
29. }
30. return sb.toString();
31. }
34. @Override
35. protected void onPostExecute(String result) {
36. String friendsCount = null;
37. String posts = "";
40. super.onPostExecute(result);
42. try {
43. int i;
44. JSONObject obj = new JSONObject(result);
45. friendsCount = obj.getJSONObject("response").getString("count");
46. JSONArray arr = obj.getJSONObject("response").getJSONArray("items");
47. friends = new String[Integer.parseInt(friendsCount)];
48. for (i = 0; i < arr.length(); i++) {
49. friends[i] =
50. "id" +arr.getJSONObject(i).getString("id")
51. + ":" + ' \n ' +arr.getJSONObject(i).getString("first_name")
52. + " " +arr.getJSONObject(i).getString("last_name")
53. + " <<" +arr.getJSONObject(i).getString("online") + ">>";
54. friends[i] =friends[i].replace("<<1>>", " online");
55. friends[i] =friends[i].replace("<<0>>", " offline");
57. }
60. showDialog(55);
62. } catch (JSONException e) {
63. e.printStackTrace();
64. }
65. }
68. }

Список друзей записан в глобальный массив friends.

Для получение истории сообщений используется подкласс суперкласса AssyncTask getHistory.

1.

1. class GetHistory extends AsyncTask<String, Void, String> {
3. @Override
4. protected void onPreExecute() {
5. super.onPreExecute();
6. }
9. @Override
10. protected String doInBackground(String... params) {
11. StringBuilder sb = new StringBuilder();
12. try {
13. HttpURLConnection connection = (HttpURLConnection) newURL(params[0]).openConnection();
14. connection.connect();
15. InputStream inputStream =connection.getInputStream();
16. BufferedReader reader = newBufferedReader(newInputStreamReader(inputStream));
17. String line = null;
18. while ((line =reader.readLine())!= null) {
19. sb.append(line);
20. }
22. TimeUnit.SECONDS.sleep(2);
23. } catch (InterruptedException e) {
24. e.printStackTrace();
25. } catch (MalformedURLException e) {
26. e.printStackTrace();
27. } catch (IOException e) {
28. e.printStackTrace();
29. }
30. return sb.toString();
31. }
33. @Override
34. protected void onPostExecute(String result) {
37. String messegesCount = null;
38. String posts = "";
39. super.onPostExecute(result);
40. ////&#1087;&#1072;&#1088;&#1089;&#1080;&#1085;&#1075;
41. try {
43. JSONObject obj = new JSONObject(result);
44. messegesCount = obj.getJSONObject("response").getString("count");
45. JSONArray arr = obj.getJSONObject("response").getJSONArray("items");
47. for (int i = 0; i <arr.length(); i++) {
48. String msg =arr.getJSONObject(i).getString("body");
49. if(msg.contains(":CRMSGWLDMR:")) {
51. msg =decrypt(msg.replace(":CRMSGWLDMR:", ""), key).replace("+"," ");
53. }
54. if(arr.getJSONObject(i).getString("from_id").equals(user_id))
55. posts +=" Собеседник:" + msg + " \n ";
56. else
57. posts += "Я" + msg + " \n ";
58. }
59. } catch (JSONException e) {
60. e.printStackTrace();
61. }
63. if (result.contains("count")) {
64. final AlertDialog.Builder builder = new AlertDialog.Builder(auth.this);
65. if (!user_id_name.equals(null))
66. builder.setTitle("История" + user_id_name);

На 50й строчке кода идет проверка на наличие в полученном сообщение флага «:CRMSGWLDMR:» он используется для того чтобы систем а поняла что сообщение зашифровано и есть необхожимость расшифровать сообщение (52-я строчка кода)

Для получение истории сообщений используется подкласс суперкласса AssyncTask sendMessage.

1. class SendMessage extends AsyncTask<String, Void, String> {
2. @Override
3. protected void onPreExecute() {
4. super.onPreExecute();
5. }
6. @Override
7. protected String doInBackground(String... params) {
8. StringBuilder sb = new StringBuilder();
9. try {
10. HttpURLConnection connection = (HttpURLConnection) newURL(params[0]).openConnection();
11. connection.connect();
12. InputStream inputStream =connection.getInputStream();
13. BufferedReader reader = newBufferedReader(newInputStreamReader(inputStream));
14. String line = null;
15. while ((line =reader.readLine())!= null) {
16. sb.append(line);
17. }
19. TimeUnit.SECONDS.sleep(2);
20. } catch (InterruptedException e) {
21. e.printStackTrace();
22. } catch (MalformedURLException e){
23. e.printStackTrace();
24. } catch (IOException e) {
25. e.printStackTrace();
26. }
27. return sb.toString();
28. }
30. @Override
31. protected void onPostExecute(String result) {
32. GetHistory("https://api.vk.com/method/messages.getHistory?offset=0&count=5&user_id="+ user_id + "&access_token=" + token + "&v=5.59");
33. }
34. }

Для шифрования и дешифрованния передаваемых или получаемых сообщений в данной программной системе используются модули с алгоритмом шифрования XOR. Стоит отметить что данные модули легко заменяемы в программном коде.

1. public static String xor_encrypt(String message, String key){
2. try {
3. if (message==null || key==null) return null;
4. char[] keys=key.toCharArray();
5. char[] mesg=message.toCharArray();
6. BASE64Encoder encoder = new BASE64Encoder();
8. int ml=mesg.length;
9. int kl=keys.length;
10. char[] newmsg=new char[ml];
12. for (int i=0; i<ml; i++){
13. newmsg[i]=(char)(mesg[i]^keys[i%kl]);
14. }
15. mesg=null;
16. keys=null;
17. String temp = newString(newmsg);
18. return new String(newBASE64Encoder().encodeBuffer(temp.getBytes()));
19. }
20. catch (Exception e) {
21. return null;
22. }
23. }
26. public static String xor_decrypt(String message, String key){
27. try {
28. if (message==null || key==null) return null;
29. BASE64Decoder decoder = new BASE64Decoder();
30. char[] keys=key.toCharArray();
31. message = new String(decoder.decodeBuffer(message));
32. char[] mesg=message.toCharArray();
34. int ml=mesg.length;
35. int kl=keys.length;
36. char[] newmsg=new char[ml];
37. for (int i=0; i<ml; i++){
38. newmsg[i]=(char)(mesg[i]^keys[i%kl]);
39. }
40. mesg=null; keys=null;
41. return new String(newmsg);
42. }
43. catch (Exception e) {
44. return null;
45. }
46. }