2

В приложении после входа есть опция "Запомнить пароль", так вот, куда безопасней всего его записать? ваши варианты )

4 ответа 4

9

К сожалению, указанные коллегами способы хранения паролей не являются правильными, увы...

Нормальным способом хранения пароля в Android является следующая комбинация:

  1. Получаем уникальный идентификатор устройства androidId = Secure.getString(getContext().getContentResolver(),Secure.ANDROID_ID)
  2. К идентификатору устройства генерируем случайную соль SALT
  3. В преференсы записываем соль (ну или некую псевдошифровку соли как у @SuperCreeper)
  4. В других преференсах (это важно) или в БД SQLite пишем пароль юзера зашифрованный комбинацией androidId+SALT ну или hash(androidId+SALT) - мастер пароль.

Фишка здесь в том, что пароль которым шифруются пароли юзеров нигде не хранится. Так что в случае утечки БД паролей можно быть относительно спокойным. И даже получение атакующим идентификатора устройства не гарантирует восстановление мастер пароля, поскольку у нас есть соль, которая записана в другом месте да и к тому же "искорежена" супер алгоритмом от @SuperCreeper.

Понятно, что в принципе такая схема также уязвима, но для того чтобы "расколотить" ее необходимо:

  • Получить идентификатор устройства
  • Получить доступ к БД паролей
  • Получить доступ к соли
  • Провести реверс-инжиниринг кода

Update

А вообще лучше всего (да и честнее) хранить не сам пароль, а ключ который будет использоваться для доступа к системе. Преимуществом этого способа является то, что:

а) Мы не храним сам пароль юзера, то есть мы не знаем его пароль. Часто, как известно, юзеры используют один и тот же пароль для доступа к различным ресурсам - так что так честнее по отношению к юзеру;

б) Поскольку обычно ключом выступает хэш (комбинация хэшей) пароля то это затрудняет брутфорс или применение радужных таблиц. Брутфорс ищет методом перебора осмысленную комбинацию составляющую гипотетический пароль. А здесь нет осмысленной комбинации - есть только бессмысленный набор байтов составляющих ключ.

1

Для хранения паролей уместно использовать аналог IsolatedStorage для Android. Там что-то типа private I/O. Ищите по Context.MODE_PRIVATE.

UPD:

Editor editor = context.getSharedPreferences(KEY, Context.MODE_PRIVATE).edit();
editor.putString("login", "password"));

Код не проверял, нет возможности в данный момент. Но суть такая.

2
  • Что-то такое? context.getSharedPreferences(KEY, Context.MODE_PRIVATE) Commented 30 мар. 2014 в 18:27
  • 1
    @Юра Сучко, обновил ответ. Commented 30 мар. 2014 в 18:31
1

Используйте SharedPreferences с Context.MODE_PRIVATE, как это советует @Макс Жуков. Для бóльшей защиты можно добавить всяких свистоперделок типа шифрования строки (у меня такая "защита" есть: строка → отзеркаленная строка → Base64 → нули и единицы → отзеркаленные нули и единицы).

Также можно использовать внутреннее хранилище приложения (доступно только* вашему приложению по адресу /data/data/package.name/files/), и записывать в него.

* если у девайся есть рут, то тогда можно будет вытащить данные.

0

Как вариант - хранить в preferences Только не в Default, а в отдельном файлике. И естественно не в открытом виде. Можно MD5 от пароля хранить, например, или ещё какую-нибудь фишку :) (При авторизации юзер вводит свой паролик, ты от него берешь мд5 и сравниваешь с тем мд5, что хранится). Конечно, вытащить его из preferences у потенциального взломщика возможность есть. Но подобрать палоль зная его мд5 - это конечно реально методом простого перебора, но я думаю за те месяцы, что на это уйдут, он уже свою актуальность потеряет :):):) Естественно требования на прароль надо повышать, т.е. не один символ, а минимум штук 5 или 6 - латиница, крилица, цифры - в комбинации. Можно хранить контрольную сумму по алгоритму CRC16 или CRC32. При чем для большего устрашения взломщиков - брать её не непосредственно от пароля а от его MD5 :):) Но тут уже своя писанина нужна, т.е. пакет для вычисления мд5 есть для java, а вот CRC свой писать надо.

Можно, конечно, если программа и так уже использует БД, хранить в табличке, опять же в зашифрованном виде. Вариантов несколько - выбирай на свой вкус.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.