android - 安全地存储客户 secret

Question

我知道 public client shouldn't use a client secret因为，无论你如何混淆它，它都不会受到 reverse engineering 的保护。 .

但是，负责我正在验证的服务的人员不想/不能更改它。因此，我需要存储客户端 secret 并尽可能地保护它免受逆向工程。

所以，我想到了在构建时使用 gradle 对其进行加密并将其存储在文件中。然后，当我在运行时需要它时，我会解密它。但现在我必须解决如何存储加密 key 的问题......

我不太了解安全性，所以，我不知道这是否可以解决，或者 Android(最低 sdk 15)是否为这种情况提供任何机制。

有什么想法吗？

Answer 1

This article建议这些选项，从不太安全到更安全:

1. 以明文形式存储

2. 使用对称 key 加密存储

3. 使用安卓 keystore

4. 使用非对称 key 加密存储

可能，结合使用 #4 和某种方式来明确识别设备将足够安全