Aplikacja Android pobieranie danych z serwera, ale w bezpieczny sposób

String httpsURL = "https://www.abcd.com/auth/login/";

String query = "email="+URLEncoder.encode("[email protected]","UTF-8"); 
query += "&";
query += "password="+URLEncoder.encode("abcd","UTF-8") ;

URL myurl = new URL(httpsURL);
HttpsURLConnection con = (HttpsURLConnection)myurl.openConnection();
con.setRequestMethod("POST");

con.setRequestProperty("Content-length", String.valueOf(query.length())); 
con.setRequestProperty("Content-Type","application/x-www-form-urlencoded"); 
con.setRequestProperty("User-Agent", "Mozilla/4.0 (compatible; MSIE 5.0;Windows98;DigExt)"); 
con.setDoOutput(true); 
con.setDoInput(true); 

DataOutputStream output = new DataOutputStream(con.getOutputStream());  


output.writeBytes(query);

output.close();

DataInputStream input = new DataInputStream( con.getInputStream() ); 



for( int c = input.read(); c != -1; c = input.read() ) 
System.out.print( (char)c ); 
input.close(); 

System.out.println("Resp Code:"+con .getResponseCode()); 
System.out.println("Resp Message:"+ con .getResponseMessage());

To , co zrobiłem, to to, że użyłem do tego szyfrowania AES. za każdym razem, gdy użytkownik się zarejestruje, wysyłam klucz szyfrowania i wersję w nagłówku do aplikacji, aby cała komunikacja była szyfrowana.serwer zawsze sprawdza wersję klucza, a następnie odpowiednio odszyfrowuje. jeśli dostępny jest nowy klucz, serwer wysyła nowy klucz do aplikacji, a następnie klucz aktualizacji aplikacji, a następnie odszyfrowuje go.

Użyłem tej metody do odszyfrowywania i szyfrowania w Androidzie.

   public  byte[] decrypt(byte[] cipherText, byte[] key, byte [] initialVector) throws NoSuchAlgorithmException, NoSuchPaddingException, InvalidKeyException, InvalidAlgorithmParameterException, IllegalBlockSizeException, BadPaddingException
{
    Cipher cipher = Cipher.getInstance(cipherTransformation);
    SecretKeySpec secretKeySpecy = new SecretKeySpec(key, aesEncryptionAlgorithm);
    IvParameterSpec ivParameterSpec = new IvParameterSpec(initialVector);
    cipher.init(Cipher.DECRYPT_MODE, secretKeySpecy, ivParameterSpec);
    cipherText = cipher.doFinal(cipherText);
    return cipherText;
}

public byte[] encrypt(byte[] plainText, byte[] key, byte [] initialVector) throws NoSuchAlgorithmException, NoSuchPaddingException, InvalidKeyException, InvalidAlgorithmParameterException, IllegalBlockSizeException, BadPaddingException
{
    Cipher cipher = Cipher.getInstance(cipherTransformation);
    SecretKeySpec secretKeySpec = new SecretKeySpec(key, aesEncryptionAlgorithm);
    IvParameterSpec ivParameterSpec = new IvParameterSpec(initialVector);
    cipher.init(Cipher.ENCRYPT_MODE, secretKeySpec, ivParameterSpec);
    plainText = cipher.doFinal(plainText);
    return plainText;
}

I w zapytaniu dodaj nagłówek jak

request.addHeader("KeyVersion",String.valueOf(utils.getInt(Key.Key_Version)));
    request.addHeader("EmpId",String.valueOf(utils.getInt(Key.Emp_Id)));

I kiedy przyjdzie odpowiedź sprawdzam nowy klucz jak

Header[] headers = response.getHeaders("KeyVersion");  

    if(headers.length>0){
        String keyVersion = headers[0].getValue();
        if (keyVersion == null) {
            System.out.println("Key 'Server' is not found!");
        } else {
                System.out.println("Key 'Server' found! -- with version "+keyVersion);
                if(utils.getInt("KeyVersion")<Integer.parseInt(keyVersion)){
                    utils.saveInt("KeyVersion", Integer.parseInt(keyVersion));
                    utils.saveString("Key", response.getHeaders("KeyValue")[0].getValue());
                    String s = response.getHeaders("KeyValue")[0].getValue();
                    System.out.println("key is "+s);
                }
        }

Po pierwsze, nigdy nie pracuj z samym hasłem, pracuj tylko z reprezentacją hash (funkcja sha1) hasła. Po drugie, możesz użyć protokołu SSL (https)do ustanowienia bezpiecznego połączenia. Podsumowując, po kliknięciu przycisku login, Uzyskaj hasło z edittext i utwórz jego hash. Po stronie serwera również użyj reprezentacji hash. Następnie wyślij dane jako treść żądania https do www.yoursite.com/login a w treści żądania będą Twoje dane. Wyślij jako json f.e...

Szyfrowanie nie jest rozwiązaniem.

Jeśli ktoś chce adresu URL, użytkownika i hasła, które są przechowywane w kliencie, nie można go uniknąć. Nawet jeśli jest zaszyfrowany, musisz dostarczyć klientowi klucz deszyfrujący, który następnie może zostać zdekompilowany.

Nie można zapobiec inżynierii odwrotnej interfejsu usługi.

I dlatego nie może uniemożliwić innym klientom korzystania z interfejsu usługi. Łatwo wywęszyć ruch sieciowy za pomocą Skrzypek . Nawet SSL nie stanowi problemu, ponieważ możemy manipulować samym klientem, zanim dane zostaną zaszyfrowane.

Zobaczmy inne wątki o inżynierii odwrotnej.

Kontynuacja odpowiedzi nKn:

Jednym ze sposobów robienia tego, co chcesz zrobić, jest użycie zarówno szyfrowania asymetrycznego, jak i symetrycznego.]}

1. Klient inicjuje połączenie z serwerem
Serwer generuje parę kluczy publicznych i prywatnych do szyfrowania asymetrycznego (na przykład RSA).
2. serwer wysyła klucz publiczny niezaszyfrowany tekstem jawnym do klienta
3. klient generuje nowy niepowiązany klucz do szyfrowania symetrycznego (AES dla przykład).
4. Klient używa klucza publicznego sprzed szyfrowania klucza algorytmu symetrycznego i wysyła go do serwera.
5. Serwer odszyfruje wiadomość za pomocą klucza prywatnego, a teraz obie strony mają wspólny klucz symetryczny do użycia.

To podejście zmusza klienta do generowania nowego klucza symetrycznego za każdym razem, więc serwer musi zachować poprawny klucz dla każdego połączenia/sesji. Nie możesz użyć tego podejścia, jeśli chcesz statycznego klucza symetrycznego, do tego możesz użyć inne podejście:

1. Klient generuje asymetryczną parę kluczy i wysyła klucz publiczny do klienta.
Serwer używa klucza publicznego do szyfrowania klucza symetrycznego i wysyłania go do klienta.
2. Klient odszyfruje wiadomość za pomocą klucza prywatnego i niszczy klucz prywatny tak szybko, jak to możliwe. - Teraz obie strony mają ten sam symetryczny klucz

Przy drugim podejściu możesz po prostu zapisać klucz symetryczny na serwerze i nie musisz przechowywać inny klucz dla każdego połączenia/sesji. Nadal radzę ci okresowo zmieniać klucz symetryczny, tak dla pewności.

Oba podejścia nie zmuszają cię do wpisywania kluczy twardych do kodu klienta, ani do wysyłania kluczy symetrycznych w postaci zwykłego tekstu. Jedyną rzeczą, która jest wysyłana w postaci zwykłego tekstu, jest klucz publiczny, a to wcale nie jest problemem, stąd nazwa "klucz publiczny".