Защита секретности третьего лица в Android

Question

У меня есть платформа для создания локальных приложений реального времени под названием Bashoto, и я собираюсь создать клиент для Android.

Приложения Bashoto имеют возможность пройти аутентификацию, которая выполняется путем генерации одноразового использования, заканчивающегося JSON Web Token (короткий код JWT) с токеном приложения и сигнатурой, чтобы убедиться, что токен действителен. Каждое соединение будет иметь уникальный JWT, который создается путем подписания контента с помощью Secret.

В веб-среде это означает, что клиентский сервер имеет копию Секрет, подписывает токен и передает его клиентскому интерфейсу, который затем используется в запросе на сервер BashotoIO.

Проблема в мобильной среде, и в данном случае Android, заключается в том, что сохранение этого Секрет в коде приложения является потенциальным вектором атаки, поскольку кто-то может проверить APK, чтобы найти его.

Каков наилучший способ по-настоящему сохранить секретный секрет в приложении для Android, сохраняя при этом интеграцию Bashoto простой и упрощенной?

Я хотел бы использование смотреть что-то как этот

Bashoto bashoto = Bashoto.fromAppKey("my-app-key"); 
bashoto.locate(); 
BashotoTopic topic = bashoto.topic("my-topic-name"); //token signing and connection happens here 
topic.send("Some message that only gets seen by nearby people"); 

Answer 1

Это зависит от того, насколько безопасно вы хотите ключ быть. Вы можете обфускать свой код с помощью proguard http://responsiveandroid.com/2014/12/10/android-proguard-tutorial.html. Это все равно будет содержать строковый литерал, но будет сложнее пройти декомпиляцию, но не невозможно.

Если это недостаточно безопасно, вы не можете сохранить его в APK, вы должны хранить его на удаленном сервере. В идеале, сервер будет использовать SSL для обеспечения конфиденциальности трафика. Вы можете получить ключ, если у вас его нет, и надежно хранить его локально, используя хранилище андроидов https://developer.android.com/training/articles/keystore.html. Это означает, что пользователь не сможет декомпилировать ваше приложение и найти ключ.

Если вы беспокоитесь о сосании SSL, вам необходимо перейти на SSL-соединение, которое проверит подлинность любого сервера. https://developer.android.com/training/articles/security-ssl.html#Pinning