android - 在 Android 设备上保存用户凭据

Question

在设备上为 Android 应用程序保存用户凭据的最佳和最安全的方法是什么。我正在考虑加密数据并将其保存在首选项中。

有没有类似iOS keychain的方式保存密码？

Answer 1

最好的办法是根本不保存它们。在这种情况下，加密提供的安全性非常低，因为应用程序本身必须具有解密 key ，因此 key 和数据位于同一台设备上。它只会阻止最不坚定的攻击者。操作系统级别的设备也好不了多少，因为任何有物理访问权限的人都可以轻松绕过它。

最好的办法是使用访问 token 。获取一次登录数据，将其发送到服务器进行登录，并让他们用一个 id 进行响应。在以后的请求中使用该 ID 来识别您自己。服务器应该记住谁与每个 id 相关联。服务器最好包含一个超时机制，在 X 时间后，id 将失效，用户将需要重新登录。甚至更安全的实现也会将其与设备的某些物理 ID 匹配，例如 Android 设备 ID，要求攻击者拥有该设备或伪造这两条信息。

使用访问 token 而不是保存凭据可以通过多种方式保护用户。首先，攻击者不会知道用户密码，以防它被重新用于其他服务(比如他们的电子邮件)。其次，仅仅更改他们的密码是不够的(因为安全服务会再次要求输入密码来更改它)所以虽然帐户中的信息可能会被泄露，但用户可以通过使用他们的密码来更改他们的帐户来取回帐户密码。如果实际密码被保存并丢失，攻击者可以更改登录信息并将用户永久锁定在他的帐户之外。