2

Добрый день! Пишу приложение для курьера на андроид (Xamarin), которое является частью основной системы и обменивается данными с помощью веб-сервисов. В приложении должны храниться персональные данные клиентов (ФИО, адрес, номер телефона и др), токен приложения, токен авторизации и токен сессии. Как обеспечить безопасное хранение этих данных? Чтобы, например, в ситуации, если курьер потеряет рабочий телефон или кто-то намеренно его украдет, посторонний не смог получить доступ к данным (Вариант установить пароль или пин-код на приложение рассматривать не нужно).

1
  • Mobile Iron очень известное решение для управления (в том числе и телефонов) удаленно. приложение обворачивается(wrappen) и подписывается. на телефоне установлен менеджер приложений от них. если телефон потерян - с него можно всегда все удалить. и много много плюшек. все зависит от бюджета.
    – Dev
    26 мар 2018 в 20:38

1 ответ 1

1

Шифровать данные AES-256. При первом запуске предлагать ввод пароля которым все это дело будет зашифровано. Ну, а в последующих запусках просто при запуске расшифровывать. Пример такой реализации есть у меня на GitHub (Exmo-GUI)

5
  • А как хранить этот пароль (получается ключ), которым все будет зашифровано? 17 мар 2018 в 13:13
  • @Александра, при каждом запуске приложения просто вводить пароль чтобы расшифровать БД. Рассмотрите мой пример (хоть он и под Desktop) но там понятно как все реализовано.
    – Vlad
    17 мар 2018 в 13:18
  • Да, я это поняла) Но вопрос заключался немного в другом. Пользователь вводит пароль. Чтобы определить, разрешить ему дальше пользоваться приложением или нет, мне нужно проверить правильность введенного пароля. Значит, его нужно с чем-то сравнить. Сравнивать пароли в явном виде очень плохая идея. Получается нужно использовать хеширование и соль? 17 мар 2018 в 13:27
  • @Александра, с AES-256 Rijndael, поставив try/catch на AES.CreateDecryptor() можно отловить ошибку (не правильный пароль). По сути ничего хранить не нужно. Линк на пример: github.com/TheDevFromKer/Exmo-GUI/blob/master/Form2.cs#L40
    – Vlad
    17 мар 2018 в 13:32
  • 1
    @Александра хранить нужно не сам пароль, а его хэш. Пользователь вводит пароль, вычисляем его хэш и сравниваем его с сохраненным, если одинаковые - значит пароль верный.
    – Bulson
    17 мар 2018 в 14:01

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.