Mật khẩu Gmail được lưu trữ trong Android như thế nào - và ở đâu?

Tôi đã xem xét xung quanh và không tìm thấy thông tin nào về cách Android quản lý để lưu trữ mật khẩu trên thiết bị. Đặc biệt là mật khẩu Gmail. Tôi đang tìm hiểu cách Android mã hóa và lưu trữ mật khẩu? Nó sử dụng khóa nào và khóa này được lưu trữ ở đâu và thuật toán mã hóa nào được sử dụng.

Ứng dụng chính thức của Gmail không lưu trữ mật khẩu trong thiết bị của bạn. Mật khẩu của bạn an toàn 100% nếu bạn sử dụng ứng dụng này.

Đây là cách thức hoạt động: Mật khẩu được sử dụng lần đầu tiên bởi các máy chủ xác thực của Google. Sau lần xác thực thành công đầu tiên, một Auth Tokentệp được tải xuống thiết bị được lưu trữ trong accounts.dbtệp dưới dạng văn bản thuần túy. Đối với tất cả các lần đăng nhập tiếp theo, điều này Auth Tokenđược sử dụng, KHÔNG phải mật khẩu ban đầu của bạn.
Vì vậy, nếu thiết bị của bạn bị đánh cắp, tất cả mọi người có thể nhận được là Auth Tokenkhông hợp lệ khi bạn thay đổi mật khẩu. Vì vậy, bạn sẽ ở trong lệnh cuối cùng.
Để bảo mật tối đa, tôi khuyên bạn nên bật 2-Factor Authenticationvà tạo Device Specific Passwordcho thiết bị của mình. Sau khi mất thiết bị, tất cả những gì bạn cần là vô hiệu hóa thiết bị đó. Bạn thậm chí không cần thay đổi mật khẩu chính.

Lưu ý: Tất cả đều không đúng nếu bạn sử dụng ứng dụng email của bên thứ ba cho Gmail viz. Ứng dụng Stock Email, K-9 Mail, vv Giao thức IMAP hoặc POP cần mật khẩu gốc để xác thực người dùng mọi lúc. Vì vậy, mật khẩu đơn giản cần phải có sẵn cho ứng dụng email trước khi gửi nó đến máy chủ. Vì vậy, hầu hết các ứng dụng email lưu trữ mật khẩu ở dạng văn bản đơn giản (băm / mã hóa là vô ích vì khóa băm / mã hóa cần được lưu trữ cục bộ). Trong trường hợp này, tôi khuyên bạn nên bật 2-Factor Authenticationvà tạo Device Specific Passwordcho thiết bị của mình. Sau khi mất thiết bị, tất cả những gì bạn cần là vô hiệu hóa thiết bị đó.

Cập nhật:
Về mặt kỹ thuật, có thể lưu trữ mật khẩu cục bộ ở dạng mã hóa / băm mà không giữ khóa mã hóa / khóa băm trong văn bản thuần túy cục bộ. Cảm ơn @JFSebastian đã chỉ ra nó. Thật không may, triển khai như vậy cho Android chưa có sẵn. Bắt đầu từ ICS, Android cung cấp API KeyChain bằng cách sử dụng ứng dụng có thể lưu mật khẩu cục bộ ở dạng an toàn. Các ứng dụng sử dụng API KeyChain rất hiếm, nhưng ứng dụng email chứng khoán sử dụng nó (Cảm ơn @wawa vì thông tin này). Vì vậy, mật khẩu của bạn sẽ an toàn với ứng dụng email stock miễn là màn hình của bạn bị khóa. Hãy nhớ rằng, KeyChain không an toàn nếu thiết bị đã được root và nó không khả dụng trên các thiết bị tiền ICS.

Mật khẩu Android được sử dụng với ứng dụng Email tích hợp được lưu trữ dưới dạng văn bản đơn giản bên trong Cơ sở dữ liệu SQLite. Điều này trái ngược với ứng dụng Gmail , sử dụng Mã xác thực Auth như được mô tả trong câu trả lời của Sachin Sekhar .

Đối với Jelly Bean, vị trí cơ sở dữ liệu là:

/data/system/users/0/accounts.db

^{Vị trí trên thay đổi theo phiên bản Android}

Vị trí này trên thiết bị chưa root được Hệ điều hành bảo mật và bảo vệ.
Trên các thiết bị đã root, người dùng đã bẻ khóa kỹ thuật bảo mật của chính họ và ngay cả khi nó không ở dạng văn bản đơn giản, nó vẫn sẽ không đáng để giải mã vì khóa phải tồn tại ở đâu đó trên thiết bị để thực hiện.

Một thành viên của Nhóm phát triển Android đã đăng một lời giải thích cho đến ngày hôm nay vẫn được áp dụng:

Bây giờ, đối với mối quan tâm đặc biệt này. Điều đầu tiên cần làm rõ là ứng dụng Email hỗ trợ bốn giao thức - POP3, IMAP, SMTP và Exchange ActiveSync - và với rất ít ngoại lệ, rất hạn chế, tất cả đều là các giao thức cũ yêu cầu khách hàng xuất trình mật khẩu cho máy chủ trên mọi kết nối. Các giao thức này yêu cầu chúng tôi giữ lại mật khẩu miễn là bạn muốn sử dụng tài khoản trên thiết bị. Các giao thức mới hơn không làm điều này - đây là lý do tại sao một số bài viết tương phản với Gmail chẳng hạn. Các giao thức mới hơn cho phép khách hàng sử dụng mật khẩu một lần để tạo mã thông báo, lưu mã thông báo và loại bỏ mật khẩu.

Tôi đề nghị bạn xem lại bài viết được liên kết trong bình luận # 38 , được viết tốt và khá nhiều thông tin. Nó cung cấp một số nền tảng rất tốt về sự khác biệt giữa các mật khẩu "che khuất" và làm cho chúng thực sự "an toàn". Chỉ cần che khuất mật khẩu của bạn (ví dụ: base64) hoặc mã hóa nó bằng một khóa được lưu trữ ở nơi khác sẽ không làm cho mật khẩu hoặc dữ liệu của bạn an toàn hơn. Kẻ tấn công vẫn có thể lấy nó.

(Đặc biệt, một số khiếu nại đã được đưa ra về một số ứng dụng email khác không lưu mật khẩu trong Cleartext. Ngay cả khi điều này là đúng, nó không chỉ ra rằng mật khẩu an toàn hơn. Một thử nghiệm đơn giản: nếu bạn có thể khởi động thiết bị và nó sẽ bắt đầu nhận email trên các tài khoản được định cấu hình của bạn, sau đó mật khẩu không thực sự an toàn. Chúng bị che khuất hoặc được mã hóa bằng một khóa khác được lưu trữ ở một nơi khác.)

Thông thường, vì vấn đề này dường như làm phiền nhiều người dùng Android, bạn cũng có thể theo dõi cuộc thảo luận này tại Slashdot - Dữ liệu mật khẩu Android được lưu trữ trong văn bản thuần túy .