SunucuGenel

AnyOTP+ çıktı: eski AnyOTP'ye göre neler değişti? (teknik inceleme)

KoPolemik · 2026-10-15T16:33:06.115Z

AnyOTP+ (1.0.2) ile eski AnyOTP'yi (1.9) inceledik. OTP üreten mantık ikisinde de aynı; değişen her şey onun etrafında, özellikle güvenlik tarafı. Aşağısı bizim incelememizdir; teknik yorumlar tahmin içerebilir, kesin bilgi NTTGame'in resmî duyurularındadır. KISA ÖZET — Klonlanır mı, emülatörde çalışır mı, hileyi/multi'yi önler mi? Asıl merak edilen bunlar. Kısa cevaplar: 1) Uygulama/token klonlanabilir mi? • OTP'nin sırrı, kurulumda cihaza inen gizli TOTP tohumudur (seed). Bu tohum başka bir cihaza taşınabilirse kodlar orada da üretilebilir — kopya, aslıyla birebir aynı geçerli olur. • Eski AnyOTP'de: tohum cihazda şifreli bir dosyada tutuluyordu ama dosyayı cihaz dışına taşımaya karşı özel bir koruma yoktu; üstelik hiçbir root/kurcalama kontrolü de yoktu. Kilidi kırılmış bir telefonda ele geçirilmesi büyük bir engel değildi. • AnyOTP+'da: tohum telefonun donanımla korunan kasasına (Android Keystore) bağlanıyor; cihaz destekliyorsa anahtar TEE/StrongBox içinde kalıp dışa aktarılamıyor. Böylece dosyaları birebir kopyalasan bile başka telefonda işe yaramıyor — token cihaza bağlanmış oluyor. 2) PC'de emülatörle açılır mı? • Eski uygulamada: hiçbir kontrol yoktu; emülatörlerde rahatça açılıp otomatikleştirilebiliyordu. • AnyOTP+ bunu birkaç katmanla engelliyor: root/emülatör tespiti, Google'ın Play Integrity doğrulaması (eski adıyla SafetyNet; 'gerçek cihaz + sertifikalı yazılım' testi) ve donanım kasası şartı. Emülatörler bu kontrolleri genelde geçemez; uygulama 'bütünlük doğrulanamadı' deyip kendini kapatıyor. • Dürüst not: hiçbir koruma mutlak değildir; ama iş 'tek tıkla PC'de onlarca pencere' olmaktan çıkıp ciddi emek ve gerçek cihaz isteyen bir hale geliyor. 3) Hilenin/multi'nin önüne nasıl geçiyor? OTP'nin yeni sunucularda zorunlu olmasının amacı, tek kişinin onlarca hesabı (multi / bot) çalıştırmasını zorlaştırmak. AnyOTP+ bunu destekliyor: tohum donanım kasasına bağlanıyor, emülatör bütünlük doğrulamasıyla engelleniyor, biyometrik/desen ikinci faktörü (2FA) fiziksel bir kişiye bağlıyor, uygulama bütünlüğü sürekli doğrulanıyor (attestation). Sınırını da söyleyelim: bu bir hesap-bağlama önlemidir, oyun içi makro/hileyi doğrudan durdurmaz. Ama multi açmanın maliyetini belirgin biçimde artırıyor: kabaca 'hesap başına gerçek bir telefon'. Eski uygulama bu işi kolaylaştırırken, yenisi tam tersine zorlaştırmak için tasarlanmış. 4) Uygulama kendini nasıl koruyor? • Kodun çoğu şifreli paketlenmiş (DEX şifreleme): gerçek sınıflar APK'da düz durmuyor, çalışma anında bellekte çözülüyor; APK'yı açıp bakmak kolay bilgi vermiyor. • Hata ayıklama ve kurcalamaya karşı korumalı (anti-debug): debugger ya da enjeksiyon tespit edilirse kendini kapatıyor. • Root tespiti + Google bütünlük kontrolü (Play Integrity): cihaz 'gerçek, sertifikalı telefon' değilse çalışmıyor. • Arka plan kontrolü (telemetri): sahte ortam/otomasyon yakalamak için cihaz ve çalışan süreç bilgisini toplayıp koruma sağlayıcısının sunucusuna gönderiyor. Kısacası: OTP'nin kalbi aynı; ama AnyOTP+ çoklu hesap, biyometrik kilit ve QR kurulumla kullanımı kolaylaştırırken güvenliği de ciddi biçimde artırmış. Oyuncu tarafında net bir ilerleme. ━━━━━━━━━━━━━━━━━━━━━━━ TAM İNCELEME (biraz daha teknik) 1) İki paket • AnyOTP 1.9: tek APK (~5,6 MB), Android 5.0+ (hedef 14). Düz Java, ~52 sınıf; karıştırma (obfuscation) ya da paketleme yok, kod birebir okunuyor. • AnyOTP+ 1.0.2 (com.nttgame.anyotp.plus): Play 'split APK' paketi (base + arm64 + ekran/dil parçaları), Android 13+ (hedef 16). Kotlin + Jetpack Compose arayüz, Realm veritabanı (çoklu hesap buradan geliyor). Asıl uygulama kodu şifreli paketlenmiş. 2) OTP motoru — ortak çekirdek • Her iki uygulama da aynı yerli (native, C ile yazılmış .so) OTP motorunu taşıyor. Java/Kotlin tarafı bu motora JNI ile bağlanıyor. Motorun içindeki kripto yığını mbedTLS/PolarSSL ailesinden: AES (Rijndael), SHA-1 ve SHA-256, HMAC, büyük-sayı aritmetiği ve anahtar değişimi (Diffie-Hellman). Yani şifreleme, özet ve anahtar işlerinin hepsini kendi içinde yapabiliyor. • Algoritma standart zaman tabanlı tek kullanımlık şifre (TOTP, RFC 6238 / RFC 4226) ailesinden: gizli tohum + zaman sayacı → HMAC → dinamik kesme (dynamic truncation) ile 31 bitlik bir sayı → mod 10^n → 6/7/8 hane. Pencere 30/15/60 sn. • Telefon saati ile sunucu saati arasındaki fark senkronlanıyor; saat kaymış olsa bile kod tutuyor. 3) AnyOTP+ çekirdeğe ne ekledi • Eski motorda yalnızca SHA-1 tabanlı OTP varken, AnyOTP+ ayrıca HMAC-SHA256 tabanlı bir OTP üretme yolu da taşıyor (daha güçlü özet). • Android Keystore destekli güvenli saklama: uygulama Keystore'da kendine bir anahtar çifti üretiyor; cihaz donanım destekliyse (TEE/StrongBox) bu anahtar cihazın güvenli bölgesinden hiç dışarı çıkmaz. Ayrıca QR ile kurulum eklenmiş. • Realm (C++ çekirdekli gömülü nesne veritabanı) ile çoklu hesap kaydı. 4) Kurulum • Kurulumda uygulama NTTGame'in OTP sunucusuyla şifreli bir oturum kurup hesabın OTP tohumunu alıyor. Eskiden yalnızca ID + onay kodu ile yapılıyordu; yeni sürümde QR ile de yapılabiliyor ve tohum Keystore korumasıyla saklanıyor. 5) Koruma kabuğu — asıl fark Eski sürümde hiç yoktu. Yenisinde katman katman: gerçek kodun şifreli asset dosyalarında durup (içerik neredeyse tamamen rastgele görünüyor, yani şifreli) çalışırken bellekte açılması, Google Play bütünlük/lisans kontrolü, root tespiti, hata ayıklama/kurcalama karşıtı korumalar ve sahte ortamları yakalamaya dönük arka plan telemetrisi. Ayrıca yedekleme kapatılmış. Bütünlük kontrolü Google'ın Play Integrity verdict'ine dayanıyor (cihaz/temel bütünlük: 'gerçek Android cihaz + resmî, sertifikalı yazılım' testi); emülatörler ve sertifikasız ROM'lar bunu çoğunlukla geçemediği için uygulama açılmıyor. Yerel kütüphaneler arm64-v8a için derlenmiş ve APK içinde sıkıştırılmadan (extractNativeLibs=false) duruyor. 6) İzin farkları • Eski: telefon durumu/numarası, depolama, paket yeniden başlatma + internet/ağ. • Yeni: internet/ağ + biyometrik/parmak izi + wake-lock. Telefon kimliği ve depolama izinleri kaldırılmış → daha az kişisel veriye dokunuyor. Sonuç: OTP'nin kalbi değişmedi; AnyOTP+ bunun üstüne çoklu hesap, biyometrik kilit, QR kurulum ve güçlü bir koruma kabuğu getirmiş. Eski uygulama açıkken, yenisi korunaklı olacak şekilde tasarlanmış. Not: AnyOTP+'ın iç mantığı şifreli olduğundan her ayrıntı dışarıdan görülemiyor. Sizce yeni sunucularda OTP'nin zorunlu olması iyi mi oldu, yoksa fazla mı karmaşıklaştı?

Cevap yaz

Henüz cevap yok

KoPolemik
Konu sahibi71 entry
19 g önce#1
AnyOTP+ (1.0.2) ile eski AnyOTP'yi (1.9) inceledik. OTP üreten mantık ikisinde de aynı; değişen her şey onun etrafında, özellikle güvenlik tarafı. Aşağısı bizim incelememizdir; teknik yorumlar tahmin içerebilir, kesin bilgi NTTGame'in resmî duyurularındadır. KISA ÖZET — Klonlanır mı, emülatörde çalışır mı, hileyi/multi'yi önler mi? Asıl merak edilen bunlar. Kısa cevaplar: 1) Uygulama/token klonlanabilir mi? • OTP'nin sırrı, kurulumda cihaza inen gizli TOTP tohumudur (seed). Bu tohum başka bir cihaza taşınabilirse kodlar orada da üretilebilir — kopya, aslıyla birebir aynı geçerli olur. • Eski AnyOTP'de: tohum cihazda şifreli bir dosyada tutuluyordu ama dosyayı cihaz dışına taşımaya karşı özel bir koruma yoktu; üstelik hiçbir root/kurcalama kontrolü de yoktu. Kilidi kırılmış bir telefonda ele geçirilmesi büyük bir engel değildi. • AnyOTP+'da: tohum telefonun donanımla korunan kasasına (Android Keystore) bağlanıyor; cihaz destekliyorsa anahtar TEE/StrongBox içinde kalıp dışa aktarılamıyor. Böylece dosyaları birebir kopyalasan bile başka telefonda işe yaramıyor — token cihaza bağlanmış oluyor. 2) PC'de emülatörle açılır mı? • Eski uygulamada: hiçbir kontrol yoktu; emülatörlerde rahatça açılıp otomatikleştirilebiliyordu. • AnyOTP+ bunu birkaç katmanla engelliyor: root/emülatör tespiti, Google'ın Play Integrity doğrulaması (eski adıyla SafetyNet; 'gerçek cihaz + sertifikalı yazılım' testi) ve donanım kasası şartı. Emülatörler bu kontrolleri genelde geçemez; uygulama 'bütünlük doğrulanamadı' deyip kendini kapatıyor. • Dürüst not: hiçbir koruma mutlak değildir; ama iş 'tek tıkla PC'de onlarca pencere' olmaktan çıkıp ciddi emek ve gerçek cihaz isteyen bir hale geliyor. 3) Hilenin/multi'nin önüne nasıl geçiyor? OTP'nin yeni sunucularda zorunlu olmasının amacı, tek kişinin onlarca hesabı (multi / bot) çalıştırmasını zorlaştırmak. AnyOTP+ bunu destekliyor: tohum donanım kasasına bağlanıyor, emülatör bütünlük doğrulamasıyla engelleniyor, biyometrik/desen ikinci faktörü (2FA) fiziksel bir kişiye bağlıyor, uygulama bütünlüğü sürekli doğrulanıyor (attestation). Sınırını da söyleyelim: bu bir hesap-bağlama önlemidir, oyun içi makro/hileyi doğrudan durdurmaz. Ama multi açmanın maliyetini belirgin biçimde artırıyor: kabaca 'hesap başına gerçek bir telefon'. Eski uygulama bu işi kolaylaştırırken, yenisi tam tersine zorlaştırmak için tasarlanmış. 4) Uygulama kendini nasıl koruyor? • Kodun çoğu şifreli paketlenmiş (DEX şifreleme): gerçek sınıflar APK'da düz durmuyor, çalışma anında bellekte çözülüyor; APK'yı açıp bakmak kolay bilgi vermiyor. • Hata ayıklama ve kurcalamaya karşı korumalı (anti-debug): debugger ya da enjeksiyon tespit edilirse kendini kapatıyor. • Root tespiti + Google bütünlük kontrolü (Play Integrity): cihaz 'gerçek, sertifikalı telefon' değilse çalışmıyor. • Arka plan kontrolü (telemetri): sahte ortam/otomasyon yakalamak için cihaz ve çalışan süreç bilgisini toplayıp koruma sağlayıcısının sunucusuna gönderiyor. Kısacası: OTP'nin kalbi aynı; ama AnyOTP+ çoklu hesap, biyometrik kilit ve QR kurulumla kullanımı kolaylaştırırken güvenliği de ciddi biçimde artırmış. Oyuncu tarafında net bir ilerleme. ━━━━━━━━━━━━━━━━━━━━━━━ TAM İNCELEME (biraz daha teknik) 1) İki paket • AnyOTP 1.9: tek APK (~5,6 MB), Android 5.0+ (hedef 14). Düz Java, ~52 sınıf; karıştırma (obfuscation) ya da paketleme yok, kod birebir okunuyor. • AnyOTP+ 1.0.2 (com.nttgame.anyotp.plus): Play 'split APK' paketi (base + arm64 + ekran/dil parçaları), Android 13+ (hedef 16). Kotlin + Jetpack Compose arayüz, Realm veritabanı (çoklu hesap buradan geliyor). Asıl uygulama kodu şifreli paketlenmiş. 2) OTP motoru — ortak çekirdek • Her iki uygulama da aynı yerli (native, C ile yazılmış .so) OTP motorunu taşıyor. Java/Kotlin tarafı bu motora JNI ile bağlanıyor. Motorun içindeki kripto yığını mbedTLS/PolarSSL ailesinden: AES (Rijndael), SHA-1 ve SHA-256, HMAC, büyük-sayı aritmetiği ve anahtar değişimi (Diffie-Hellman). Yani şifreleme, özet ve anahtar işlerinin hepsini kendi içinde yapabiliyor. • Algoritma standart zaman tabanlı tek kullanımlık şifre (TOTP, RFC 6238 / RFC 4226) ailesinden: gizli tohum + zaman sayacı → HMAC → dinamik kesme (dynamic truncation) ile 31 bitlik bir sayı → mod 10^n → 6/7/8 hane. Pencere 30/15/60 sn. • Telefon saati ile sunucu saati arasındaki fark senkronlanıyor; saat kaymış olsa bile kod tutuyor. 3) AnyOTP+ çekirdeğe ne ekledi • Eski motorda yalnızca SHA-1 tabanlı OTP varken, AnyOTP+ ayrıca HMAC-SHA256 tabanlı bir OTP üretme yolu da taşıyor (daha güçlü özet). • Android Keystore destekli güvenli saklama: uygulama Keystore'da kendine bir anahtar çifti üretiyor; cihaz donanım destekliyse (TEE/StrongBox) bu anahtar cihazın güvenli bölgesinden hiç dışarı çıkmaz. Ayrıca QR ile kurulum eklenmiş. • Realm (C++ çekirdekli gömülü nesne veritabanı) ile çoklu hesap kaydı. 4) Kurulum • Kurulumda uygulama NTTGame'in OTP sunucusuyla şifreli bir oturum kurup hesabın OTP tohumunu alıyor. Eskiden yalnızca ID + onay kodu ile yapılıyordu; yeni sürümde QR ile de yapılabiliyor ve tohum Keystore korumasıyla saklanıyor. 5) Koruma kabuğu — asıl fark Eski sürümde hiç yoktu. Yenisinde katman katman: gerçek kodun şifreli asset dosyalarında durup (içerik neredeyse tamamen rastgele görünüyor, yani şifreli) çalışırken bellekte açılması, Google Play bütünlük/lisans kontrolü, root tespiti, hata ayıklama/kurcalama karşıtı korumalar ve sahte ortamları yakalamaya dönük arka plan telemetrisi. Ayrıca yedekleme kapatılmış. Bütünlük kontrolü Google'ın Play Integrity verdict'ine dayanıyor (cihaz/temel bütünlük: 'gerçek Android cihaz + resmî, sertifikalı yazılım' testi); emülatörler ve sertifikasız ROM'lar bunu çoğunlukla geçemediği için uygulama açılmıyor. Yerel kütüphaneler arm64-v8a için derlenmiş ve APK içinde sıkıştırılmadan (extractNativeLibs=false) duruyor. 6) İzin farkları • Eski: telefon durumu/numarası, depolama, paket yeniden başlatma + internet/ağ. • Yeni: internet/ağ + biyometrik/parmak izi + wake-lock. Telefon kimliği ve depolama izinleri kaldırılmış → daha az kişisel veriye dokunuyor. Sonuç: OTP'nin kalbi değişmedi; AnyOTP+ bunun üstüne çoklu hesap, biyometrik kilit, QR kurulum ve güçlü bir koruma kabuğu getirmiş. Eski uygulama açıkken, yenisi korunaklı olacak şekilde tasarlanmış. Not: AnyOTP+'ın iç mantığı şifreli olduğundan her ayrıntı dışarıdan görülemiyor. Sizce yeni sunucularda OTP'nin zorunlu olması iyi mi oldu, yoksa fazla mı karmaşıklaştı?
Cep Telefonu Numarası Doğrulama / OTP (1 Ekim 2026)NTTGame AnyOTP+ (com.nttgame.anyotp.plus)Google Play AnyOTP (eski sürüm)Google Play

Taraf tut0 oy

Güvenlik için iyi oldu%0

Zorunlu olması gereksiz%0

Gereğinden karmaşık%0

Cevaplar 0

Henüz cevap yok. İlk yazan sen ol.

Cevap yazmak için giriş yap. Hesabın yoksa kayıt ol; bir dakika sürer.

Kayıt ol Giriş yap

İçerik kaldırma talebi