Как защитить пароль (зашифрованный) на Android?

Question

У меня есть база данных, содержащая личную информацию, которая должна быть доступна только моему приложению. Я добавил файл базы данных в папку с ресурсами, которая в первый раз копируется в каталог базы данных приложений, но в каталоге «assets» и «data» (на корневых устройствах) может быть доступ к любому другому приложению. Поэтому я решил зашифровать база данных. Android по умолчанию SQLite Database не обеспечивает шифрование данных, поэтому я решил использовать SQLCipher для android http://sqlcipher.net/sqlcipher-for-android/.

Теперь я успешно зашифровал базу данных, и я могу получить к ней доступ с использованием определенного пароля. Но проблема остается ... Где я должен хранить этот пароль? так что он может быть доступен только для моего приложения.

1. Невозможно жестко записать его, поскольку он будет доступен после декомпиляции, даже если он запутан.
2. не может хранить его в файловой системе либо (активы/сырье)
3. Не может попросить пользователя ввести его как пользователь может быть хакером

Это автономное приложение без сервера взаимодействие вообще

Answer 1

Can't ask the user to enter it as the user could be a hacker Тогда у вас нет способа безопасно его хранить. По тем же причинам, которые вы уже определили, в частности, что ваш код можно декомпилировать, любое место, где вы храните его, которое доступно, может быть выяснено путем декомпиляции и, следовательно, получено любым кодом с правом доступа.

Что-то, что предоставляет пользователь, хранится везде, где пользователь хранит его - предположительно, в его голове. Это не то программное обеспечение, которое может получить доступ, что делает его идеальным для снижения риска атаки вредоносного ПО. Если введенный пароль действителен, вы не можете узнать, разрешен ли пользователь или нет, однако вы можете определить политику, такую ​​как минимальная длина ключа, максимальное количество попыток ввода (до введения некоторой задержки или другой блокировки) и т. Д. .

Answer 2

Я не уверен, насколько точны этот ответ, но все-таки размещать его, потому что я хочу некоторый ответ от Android вундеркиндов

Учитывая код C трудно декомпилировать, я написал простую родную библиотеку C (.so) с помощью Android NDK, который содержит алгоритм для генерации пароля. Этот алгоритм выполняется только в том случае, если приложение подписано моим сертификатом. Если кто-то повторно использует эту библиотеку в любом другом приложении, она не вернет пароль, поскольку сертификат не будет соответствовать. Я получил эту идею с этого поста: http://digital-identity.dk/2010/12/protecting-ip-in-android-applications/

Это, как я получить сертификат:

void Java_dk_digitalidetity_android_SomeClass_SomeMethod(JNIEnv* env, jobject obj) { 
    // this.getPackageManager() 
    jclass cls = (*env)->GetObjectClass(env, obj); 
    jmethodID mid = (*env)->GetMethodID(env, cls, "getPackageManager", "()Landroid/content/pm/PackageManager;"); 
    jobject packageManager = (*env)->CallObjectMethod(env, obj, mid); 

    // this.getPackageName() 
    mid = (*env)->GetMethodID(env, cls, "getPackageName", "()Ljava/lang/String;"); 
    jstring packageName = (jstring) (*env)->CallObjectMethod(env, obj, mid); 

    // packageManager->getPackageInfo(packageName, GET_SIGNATURES); 
    cls = (*env)->GetObjectClass(env, packageManager); 
    mid = (*env)->GetMethodID(env, cls, "getPackageInfo", "(Ljava/lang/String;I)Landroid/content/pm/PackageInfo;"); 
    jint flags = GET_SIGNATURES; 
    jobject packageInfo = (*env)->CallObjectMethod(env, packageManager, mid, packageName, flags); 

    // packageInfo->signatures 
    cls = (*env)->GetObjectClass(env, packageInfo); 
    jfieldID fid = (*env)->GetFieldID(env, cls, "signatures", "[Landroid/content/pm/Signature;"); 
    jobject signatures = (*env)->GetObjectField(env, packageInfo, fid); 

// signatures[0] 
    jobject signature = (*env)->GetObjectArrayElement(env, signatures, 0); 

// signature->toByteArray() 
    cls = (*env)->GetObjectClass(env, signature); 
    mid = (*env)->GetMethodID(env, cls, "toByteArray", "()[B"); 
    jbytearray certificate = (*env)->CallObjectMethod(env, signature, mid); 
}