Добрый день! Пишу приложение для курьера на андроид (Xamarin), которое является частью основной системы и обменивается данными с помощью веб-сервисов. В приложении должны храниться персональные данные клиентов (ФИО, адрес, номер телефона и др), токен приложения, токен авторизации и токен сессии. Как обеспечить безопасное хранение этих данных? Чтобы, например, в ситуации, если курьер потеряет рабочий телефон или кто-то намеренно его украдет, посторонний не смог получить доступ к данным (Вариант установить пароль или пин-код на приложение рассматривать не нужно).
-
Mobile Iron очень известное решение для управления (в том числе и телефонов) удаленно. приложение обворачивается(wrappen) и подписывается. на телефоне установлен менеджер приложений от них. если телефон потерян - с него можно всегда все удалить. и много много плюшек. все зависит от бюджета.– Dev26 мар 2018 в 20:38
Добавить комментарий
|
1 ответ
Шифровать данные AES-256. При первом запуске предлагать ввод пароля которым все это дело будет зашифровано. Ну, а в последующих запусках просто при запуске расшифровывать. Пример такой реализации есть у меня на GitHub (Exmo-GUI)
-
А как хранить этот пароль (получается ключ), которым все будет зашифровано? 17 мар 2018 в 13:13
-
@Александра, при каждом запуске приложения просто вводить пароль чтобы расшифровать БД. Рассмотрите мой пример (хоть он и под Desktop) но там понятно как все реализовано.– Vlad17 мар 2018 в 13:18
-
Да, я это поняла) Но вопрос заключался немного в другом. Пользователь вводит пароль. Чтобы определить, разрешить ему дальше пользоваться приложением или нет, мне нужно проверить правильность введенного пароля. Значит, его нужно с чем-то сравнить. Сравнивать пароли в явном виде очень плохая идея. Получается нужно использовать хеширование и соль? 17 мар 2018 в 13:27
-
@Александра, с AES-256 Rijndael, поставив try/catch на AES.CreateDecryptor() можно отловить ошибку (не правильный пароль). По сути ничего хранить не нужно. Линк на пример: github.com/TheDevFromKer/Exmo-GUI/blob/master/Form2.cs#L40– Vlad17 мар 2018 в 13:32
-
1@Александра хранить нужно не сам пароль, а его хэш. Пользователь вводит пароль, вычисляем его хэш и сравниваем его с сохраненным, если одинаковые - значит пароль верный.– Bulson17 мар 2018 в 14:01