android - 在设备本地存储数据

Question

我正在制作一个应用程序，用户可以在其中将数据存储在设备上。我在考虑使用数据库存储。但我一直在某处读到，可以操纵存储在设备本地的数据。那么避免对数据进行此类“攻击”的最佳方法是什么？我一直在考虑对数据库中的每个字段进行加密，但我又必须在设备上存储一个加密 key (？)，我想又可以找到它？那么有人对我的想法有任何其他想法/改进吗？

感谢您的帮助!

Answer 1

I'm looking for a way to make it a big challenge

接受挑战:)

您应该做的第一件事是将数据存储在您的应用程序目录中，因为普通设备上的用户/其他应用程序无法读取它。可以从 Context 获取指向应用程序数据的链接，例如Context.html#getDir() .您从 Environment 获得的目录是公开的。

这会阻止普通用户获取数据。但是很多人都拥有 root 设备并且可以毫无问题地访问数据，因此这仍然非常不安全。

要使它变得更难，您需要加密。任何不会像 WEP 那样从根本上被破坏的强加密都可以。使用加密可以强制用户找到 key (和加密方法)，因为加密数据无法在合理的时间内解密。

这会导致一个问题，即您的应用可以在某处使用 key ，但用户无法使用。这是您需要发挥创意的部分，因为没有安全的方法来做到这一点。

最简单的方法是将 key 以明文形式放入您的应用代码中。像 private static final String SECRET = "42"。通过简单地加密文件，您已经可以阻止大多数用户进一步挖掘，因为此时您需要一些编程技能来读取数据。

如果用户具备这些技能，他可能会开始查看您应用的代码(例如使用 dex2jar + jd-gui )。如果您想知道对您的应用进行逆向工程有多难，您也应该这样做。

如果使用 proguard 混淆代码，理解代码/找到加密方法 + 密码将变得更加困难，因为应用程序内部类、方法和变量名称将缩短为 A.B.c(d)像代码。但是无法重命名对 Android API 的方法调用，因为您需要在设备上重命名这些方法。像 "42" 这样的字符串常量也不会改变。

使它更难的下一步是用您的代码动态生成的内容替换该常量。例如，下面的基本示例通过将数字除以二来构建密码。使用这种方法的优点是密码不再以明文形式存储，您需要了解/逆向工程将数据转换为密码的方法。

private static final byte[] password = {8, 4};
private String getPassword(byte[] data) {
    StringBuilder sb = new StringBuilder();
    for (byte b : data) {
        sb.append(String.valueof(b / 2));
    }
    return sb.toString();
}
// returns "42" if I did not make a mistake

下一个易受攻击的点是可以很容易地找到对设备加密 API 的调用(因为它们不能重命名)，这使得找出在哪里寻找加密变得容易得多。如果您不想编写自己的加密方法，我强烈建议您不要这样做，因为这里的一个小错误可能会损坏数据或破坏完整的加密。

例如，如果您使用反射(通过提供 String 中提供的方法/类的名称来调用方法)，这个问题会得到解决。该 String 也可以像上面的示例一样对密码进行混淆处理。

如果你做了所有这些并且不使用不像这个那么简单的方法，你可能会变得非常困难。 dexguard例如可以为您做到这一点，但它不是免费的，并且存在许多应用程序使用相同方法的问题，而且与您的自定义方法相比，更多人会尝试打破它。

在您的应用程序中找到一种隐藏用于生成 key 的信息的好方法，以及一种隐藏 key 生成和加密/解密的方法最好由您自己想出，因此该方法本身不是公共(public)知识。

您可以结合使用多种技术来隐藏信息，例如将信息的一部分移动到 native 代码中，这样像我这样的 Java 开发人员会遇到困难，或者使用网络连接让您的服务器完成一些工作。

但最后都是Security through obscurity所有额外的安全措施对用户没有好处，但需要额外的处理时间和额外的应用程序大小。