Jak bezpiecznie przechowywać token dostępu i tajne w Androidzie?

Możesz je przechowywać w AccountManager . Według nich to najlepsza praktyka.

Oto oficjalna definicja:

Klasa ta zapewnia dostęp do scentralizowanego rejestru użytkownika konta internetowe. Użytkownik wprowadza dane uwierzytelniające (nazwa użytkownika i hasło) raz na konto, przyznając aplikacjom dostęp do zasobów internetowych z zatwierdzeniem "jednym kliknięciem".

Szczegółowy przewodnik jak używać AccountManager:

• UDI Cohen tutorial
• Blog Pilanites
• prezentacja Google IO

Jednak na końcu AccountManager przechowuje tylko twój token jako zwykły tekst. Sugerowałbym więc zaszyfrowanie twojego sekretu przed zapisaniem go w AccountManager. Możesz używać różnych bibliotek szyfrujących, takich jak AESCrypt lub AESCrypto

Inną opcją jest użycie Conceal library . Jest wystarczająco bezpieczny. dla Facebook i znacznie łatwiejsze w użyciu niż AccountManager. Oto fragment kodu do zapisania tajnego pliku za pomocą Conceal.

byte[] cipherText = crypto.encrypt(plainText);
byte[] plainText = crypto.decrypt(cipherText);

1. z panelu projektu Android Studio wybierz "pliki projektów" i utwórz nowy plik o nazwie " keystore.właściwości " w katalogu głównym projektu.

1. Otwórz keystore.właściwości " pliku i zapisać Token dostępu i tajne w pliku.

1. Teraz załaduj Token read the Access i ukryj w swojej aplikacji modułu .gradle plik. Następnie należy zdefiniować Zmienna BuildConfig dla Twojego Tokena dostępu i tajnego, dzięki czemu możesz uzyskać do nich bezpośredni dostęp z kodu. Twoja Budowa.gradle może wyglądać następująco:

   ... ... ... 
   
   android {
       compileSdkVersion 26
   
       // Load values from keystore.properties file
       def keystorePropertiesFile = rootProject.file("keystore.properties")
       def keystoreProperties = new Properties()
       keystoreProperties.load(new FileInputStream(keystorePropertiesFile))
   
       defaultConfig {
           applicationId "com.yourdomain.appname"
           minSdkVersion 16
           targetSdkVersion 26
           versionCode 1
           versionName "1.0"
           testInstrumentationRunner "android.support.test.runner.AndroidJUnitRunner"
   
           // Create BuildConfig variables
           buildConfigField "String", "ACCESS_TOKEN", keystoreProperties["ACCESS_TOKEN"]
           buildConfigField "String", "SECRET", keystoreProperties["SECRET"]
       }
   }
   

2. Możesz użyć Tokena dostępu i tajemnicy w kodzie w następujący sposób:

   String accessToken = BuildConfig.ACCESS_TOKEN;
   String secret = BuildConfig.SECRET;
   

W ten sposób nie musisz przechowywać Tokena dostępu i tajemnicy w zwykłym tekście wewnątrz projektu. Więc nawet jeśli ktoś dekompiluje Twój APK, nigdy nie otrzyma Twojego Tokena dostępu i tajemnicy podczas ładowania z zewnętrznego pliku.

SharedPreferences nie jest bezpiecznym miejscem. Na zakorzenionym urządzeniu możemy łatwo odczytywać i modyfikować wszystkie aplikacje SharedPrefereces xml. nawet jeśli token wygasa co godzinę, nowsze tokeny nadal mogą zostać skradzione z SharedPreferences. KeyStore Androida powinien być używany do długoterminowego przechowywania i pobierania kluczy kryptograficznych, które będą używane do szyfrowania naszych tokenów w celu przechowywania ich np. w SharedPreferences. Klucze nie są przechowywane w procesie aplikacji, więc są trudniejsze do skompromitowania.

Cóż, możesz zabezpieczyć dostęp do tokena, wykonując dwie opcje.

1. Użyj save your access token w keystore Androida, który nie będzie odwrócony.
2. Użyj funkcji NDK z niektórymi obliczeniami, które zapisują token i NDK z kodem c++, który jest bardzo trudny do odwrócenia