Làm cách nào để lưu trữ mật khẩu an toàn trên Android?

Question

Nhiệm vụ là để lưu các mật khẩu nhập (PasswordStr) hoặc mKey.getEncoded byte [] và sau đó tự động gửi tới API Crypto (Cipher)

SecretKey mKey = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1").generateSecret(new PBEKeySpec(PasswordStr.toCharArray()); 

Rõ ràng là mật khẩu này cũng có thể được mã hóa, nhưng điều này sẽ yêu cầu mật khẩu khác và cứ thế vô cùng.

Có thể Android đã cung cấp cơ chế lưu trữ mật khẩu?

p.s sử dụng máy chủ từ xa là không thể. Cần được lưu trữ cục bộ.

Answer 1

bạn có thể sử dụng SQLCipher cho android. Nó là phần mở rộng của SQLite cung cấp mã hóa AES 256-bit trong suốt của các tệp cơ sở dữ liệu

Answer 2

Kiểm tra Handling Credentials section on the android developers guide. Tôi sẽ báo nó ở đây.

Nếu có thể, tên người dùng và mật khẩu sẽ không được lưu trữ trên thiết bị. Thay vào đó, hãy thực hiện xác thực ban đầu bằng tên người dùng và mật khẩu do người dùng cung cấp và sau đó sử dụng thời gian sống ngắn, mã thông báo ủy quyền dành riêng cho dịch vụ.

Các dịch vụ có thể truy cập được vào nhiều ứng dụng sẽ được truy cập bằng cách sử dụng AccountManager. Nếu có thể, hãy sử dụng lớp AccountManager để gọi dịch vụ dựa trên đám mây và không lưu trữ mật khẩu trên thiết bị.

Sau khi sử dụng AccountManager để lấy một Account, CREATOR trước khi đi qua trong bất kỳ thông tin, do đó bạn không vô tình vượt qua các thông tin để ứng dụng sai.

Nếu thông tin đăng nhập chỉ được sử dụng bởi các ứng dụng bạn tạo, thì bạn có thể xác minh ứng dụng truy cập vào Trình quản lý tài khoản bằng cách sử dụng checkSignature(). Ngoài ra, nếu chỉ một ứng dụng sẽ sử dụng thông tin đăng nhập, bạn có thể sử dụng một số KeyStore để lưu trữ.

Answer 3

Bạn có thể sử dụng Keystore API của Android.

Bí mật được mã hóa bằng mật khẩu chính được lấy từ mật khẩu hoặc ghim của điện thoại. Nó được coi là một giải pháp mã hóa dựa trên phần mềm tốt. Lưu ý rằng người dùng phải đặt mật khẩu/ghim trên điện thoại của mình để tính năng này hoạt động.

Nelenkov gives a good overview:

nhớ thông tin xác Android được thực hiện như một Linux mẹ đẻ dịch vụ (daemon), với một vài lớp bổ sung trên đầu trang của nó mà làm cho nó có sẵn để khuôn khổ.Hãy nhanh chóng xem lại những gì chúng ta biết về các keystore daemon (mô tả chi tiết ở đây):

• đó là một daemon bản xứ, bắt đầu lúc khởi động
• nó cung cấp một ổ cắm điều khiển tại chỗ để cho phép các ứng dụng và hệ thống dịch vụ để nói chuyện để nó
• nó mã hóa các phím sử dụng một chút chủ AES 128
• chìa khóa mã hóa khóa được lưu trong/data/misc/keystore, một tập tin cho mỗi khoá
• chìa khóa tổng thể được bắt nguồn từ các thiết bị mở khóa mật khẩu hoặc mã pIN nó
• cho phép các lệnh quản lý thực hiện và tiếp cận chủ chốt dựa trên gọi UID

Xem Android Documentation để biết thêm chi tiết.