안드로이드 보안 저장 키

Question

Andeoid 응용 프로그램에서 각 요청과 함께 제출할 인증 토큰은 어디에 저장해야합니까? 보안 저장소 위치를 묻습니다. 예를 들어 아이폰에는 키 체인이 있습니다. 응급실에는 해당 서비스가 있습니까? 공유 환경 설정에 저장하는 것이 안전한지 여부

Answer 1

Android 4.3 이상에는 iOS 키 체인과 대략 동일한 AndoridKeystore라는 것이 있습니다. Here 좋은 블로그가 그것과 공식 API sample project을 써주세요.

일반적으로 공유 환경 설정을 Context.MODE_PRIVATE으로 만들면 애플리케이션 (또는 키로 서명 된 다른 앱)에서만 액세스 할 수 있습니다. 그러나 기기가 뿌리를 내린 경우 사용자와 앱은 앱의 비공개 공유 환경 설정을 읽을 수 있습니다.

나는 공유 설정에 저장된 키와 값을 난독 화하여 공격자가 더 어렵게 만들고 (로켓 과학이 아니더라도) 앱을 리버스 엔지니어링해야하는 라이브러리를 만들고 유지 관리하는 데 도움을주었습니다. 보안 환경 설정에 대한 좋은 대안은 Mark Murphy가 CWAC-prefs (SQL 암호화가 뒷받침)입니다.