Làm cách nào để lưu trữ an toàn mã thông báo truy cập và bí mật trong Android?

Tôi sẽ sử dụng oAuth để tìm nạp thư và danh bạ từ google. Tôi không muốn yêu cầu người dùng mỗi lần đăng nhập để lấy mã thông báo truy cập và bí mật. Từ những gì tôi hiểu, tôi cần lưu trữ chúng với ứng dụng của mình trong cơ sở dữ liệu hoặc SharedPreferences. Nhưng tôi hơi lo lắng về khía cạnh bảo mật với điều đó. Tôi đọc rằng bạn có thể mã hóa và giải mã mã thông báo nhưng kẻ tấn công rất dễ dàng chỉ cần dịch ngược gói ứng dụng và lớp của bạn và lấy khóa mã hóa.
Phương pháp tốt nhất để lưu trữ an toàn các mã thông báo này trong Android là gì?

Lưu trữ chúng dưới dạng tùy chọn được chia sẻ . Theo mặc định, chúng là riêng tư và các ứng dụng khác không thể truy cập chúng. Trên thiết bị đã root, nếu người dùng cho phép rõ ràng quyền truy cập vào một số ứng dụng đang cố đọc chúng, ứng dụng đó có thể sử dụng chúng, nhưng bạn không thể bảo vệ khỏi điều đó. Đối với mã hóa, bạn phải yêu cầu người dùng nhập cụm mật khẩu giải mã mọi lúc (do đó đánh bại mục đích lưu thông tin đăng nhập vào bộ nhớ đệm) hoặc lưu khóa vào một tệp và bạn sẽ gặp phải vấn đề tương tự.

Có một số lợi ích của việc lưu trữ mã thông báo thay vì mật khẩu tên người dùng thực tế:

• Các ứng dụng của bên thứ ba không cần biết mật khẩu và người dùng có thể chắc chắn rằng họ chỉ gửi mật khẩu đó đến trang web gốc (Facebook, Twitter, Gmail, v.v.)
• Ngay cả khi ai đó đánh cắp mã thông báo, họ sẽ không thấy mật khẩu (người dùng có thể đang sử dụng trên các trang web khác)
• Token thường có thời gian tồn tại và hết hạn sau một thời gian nhất định
• Token có thể bị thu hồi nếu bạn nghi ngờ chúng đã bị xâm phạm

Bạn có thể lưu trữ chúng trong AccountManager . Đó được coi là phương pháp tốt nhất theo những người này.

Đây là định nghĩa chính thức:

Lớp này cung cấp quyền truy cập vào sổ đăng ký tập trung các tài khoản trực tuyến của người dùng. Người dùng nhập thông tin đăng nhập (tên người dùng và mật khẩu) một lần cho mỗi tài khoản, cấp cho ứng dụng quyền truy cập vào tài nguyên trực tuyến với sự chấp thuận "một lần nhấp".

Để có hướng dẫn chi tiết về cách sử dụng AccountManager:

• Udi Cohen hướng dẫn
• Blog của người Pilanites
• Bản trình bày Google IO

Tuy nhiên, cuối cùng AccountManager chỉ lưu trữ mã thông báo của bạn dưới dạng văn bản thuần túy. Vì vậy, tôi khuyên bạn nên mã hóa bí mật của bạn trước khi lưu trữ chúng trong AccountManager. Bạn có thể sử dụng nhiều thư viện Mã hóa khác nhau như AESCrypt hoặc AESCrypto

Một tùy chọn khác là sử dụng thư viện Conceal . Nó đủ an toàn cho Facebook và dễ sử dụng hơn AccountManager. Đây là đoạn mã để lưu tệp bí mật bằng Conceal.

byte[] cipherText = crypto.encrypt(plainText);
byte[] plainText = crypto.decrypt(cipherText);

Bản thân SharedPreferences không phải là một vị trí an toàn. Trên một thiết bị đã root, chúng ta có thể dễ dàng đọc và sửa đổi tất cả các ứng dụng của SharedPrefereces xml. Vì vậy, các mã thông báo sẽ hết hạn tương đối thường xuyên. Nhưng ngay cả khi mã thông báo hết hạn mỗi giờ, các mã thông báo mới hơn vẫn có thể bị đánh cắp khỏi SharedPreferences. Android KeyStore nên được sử dụng để lưu trữ lâu dài và truy xuất các khóa mật mã sẽ được sử dụng để mã hóa mã thông báo của chúng tôi nhằm lưu trữ chúng trong ví dụ như SharedPreferences hoặc cơ sở dữ liệu. Các khóa không được lưu trữ trong quy trình của ứng dụng, vì vậy chúng khó bị xâm phạm hơn.

Vì vậy, liên quan hơn một địa điểm là cách chúng có thể được bảo mật, ví dụ như sử dụng JWT tồn tại ngắn hạn được ký mã hóa, mã hóa chúng bằng Android KeyStore và gửi chúng bằng một giao thức an toàn

1. Từ ngăn Dự án của Android Studio, chọn "Tệp Dự án" và tạo tệp mới có tên "keystore.properties" trong thư mục gốc của dự án của bạn.

2. Mở tệp "keystore.properties" và lưu Mã thông báo truy cập và Bí mật của bạn trong tệp.

3. Bây giờ hãy tải bài đọc Access Token and Secret trong tệp build.gradle của mô-đun ứng dụng của bạn . Sau đó, bạn cần xác định biến BuildConfig cho Mã thông báo truy cập và Bí mật để bạn có thể truy cập trực tiếp chúng từ mã của mình. Build.gradle của bạn có thể trông giống như sau:

   ... ... ... 
   
   android {
       compileSdkVersion 26
   
       // Load values from keystore.properties file
       def keystorePropertiesFile = rootProject.file("keystore.properties")
       def keystoreProperties = new Properties()
       keystoreProperties.load(new FileInputStream(keystorePropertiesFile))
   
       defaultConfig {
           applicationId "com.yourdomain.appname"
           minSdkVersion 16
           targetSdkVersion 26
           versionCode 1
           versionName "1.0"
           testInstrumentationRunner "android.support.test.runner.AndroidJUnitRunner"
   
           // Create BuildConfig variables
           buildConfigField "String", "ACCESS_TOKEN", keystoreProperties["ACCESS_TOKEN"]
           buildConfigField "String", "SECRET", keystoreProperties["SECRET"]
       }
   }

4. Bạn có thể sử dụng Mã truy cập và Bí mật trong mã của mình như sau:

   String accessToken = BuildConfig.ACCESS_TOKEN;
   String secret = BuildConfig.SECRET;

Bằng cách này, bạn không cần lưu trữ Mã truy cập và Bí mật ở dạng văn bản thuần túy bên trong dự án của mình. Vì vậy, ngay cả khi ai đó dịch ngược APK của bạn, họ sẽ không bao giờ nhận được Mã truy cập và Bí mật của bạn khi bạn đang tải chúng từ tệp bên ngoài.

Bạn có thể bảo mật mã thông báo truy cập của mình bằng cách làm theo hai tùy chọn.

1. Sử dụng lưu mã thông báo truy cập của bạn vào kho khóa android sẽ không bị ngược lại.
2. Sử dụng hàm NDK với một số phép tính để lưu mã thông báo và NDK của bạn bằng mã c ++ mà rất khó để đảo ngược