03 — Anti-spoofing y prevención de fraude

Defensa en profundidad: local (móvil) + remota (servidor). Ninguna capa sola basta.

1. Detección de Mock Location (Fake GPS)

Android (nativo vía MethodChannel → Kotlin)

• Location.isFromMockProvider() sobre la última ubicación.
• Settings.Secure.ALLOW_MOCK_LOCATION (configuración global de ubicaciones simuladas).
• Lista de paquetes instalados que coinciden con apps de fake GPS conocidas (firma de paquetes, no solo nombre, para evitar evasión trivial).
• Opcional (gratis, servicio Google): Play Integrity API para atestación del dispositivo.

Implementación: mobile/android/.../MainActivity.kt — isMockLocationDetected().

iOS

• iOS no expone un flag público de ubicación simulada; se usa:
  • Detección de jailbreak (rutas Cydia/Sileo, fork() con salida negativa, sandbox bypass).
  • CLLocation.horizontalAccuracy y consistencia del fix.
  • Plausibilidad en servidor (abajo) como red principal.

Librerías Flutter (referencia)

• geolocator (ubicación), trust_location / flutter_trust_location (mock), device_info_plus.

2. Detección de Root (Android) y Jailbreak (iOS)

• Android: paquete root_check (comprueba su, Magisk, Superuser.apk, build tags test-keys).
• iOS: comprobación de rutas (/Applications/Cydia.app, /usr/sbin/sshd, /bin/bash, /.installed_unc0ver), y canOpenURL("cydia://").
• Resultado se envía en cada check-in (root_jailbreak_detected) y se registra en devices.

3. Validación de hora (NTP / autoridad del servidor)

• La app nunca confía en el reloj del dispositivo como hora oficial.
• GET /api/v1/time devuelve el tiempo del servidor firmado. El cliente calcula offset = server_time - device_time y lo guarda en flutter_secure_storage.
• Online: el backend rechaza si |offset| > 120 s (umbral configurable).
• Offline: el cliente almacena last_synced_offset + tiempo monotónico del arranque; al sincronizar, el servidor valida que la deriva (offset previo + elapsed) sea plausible.
• El server_time (hora de recepción en el servidor) es el timestamp legal del evento; recorded_at (hora del dispositivo) se conserva solo como claim auditada.

4. Plausibilidad en servidor

• Viaje imposible: distancia entre eventos consecutivos del mismo empleado vs tiempo transcurrido (velocidad > ~300 km/h → sospechoso).
• Precisión GPS: accuracy_m por encima del umbral (p. ej. 100 m) → rechazo para perfil site.
• Coherencia dispositivo: device_id registrado y root_jailbreak_status previo.
• Tasa de peticiones: rate-limiting (Redis) para evitar automatización.

5. Flujo de bloqueo

Si se detecta mock/root/jailbreak:

1. El check-in no crea attendance_events.
2. Se inserta un registro en alerts (type = mock_location / root_jailbreak) con payload (coordenadas, app sospechosa, versión de OS).
3. El backend responde 403 Forbidden con código de error específico.
4. El panel web notifica al administrador (push/email).

6. Límites y mitigación

• Ningún control on-device es infalible: la validación final es la combinación on-device + NTP + plausibilidad + atestación (Play Integrity) + auditoría inmutable.