java - 加密应用程序数据的正确方法

Question

关于应用数据加密的简单问题。

假设您有一个移动应用程序，该应用程序需要存储一些潜在的敏感数据。在本例中，需要隐藏公司 IP 地址的列表。

显而易见的答案是使用用户密码的哈希值进行加密。但在这种情况下，用户帐户是可选的，因此密码可能不存在。加密商店数据的下一个最佳方法是什么？

我的第一个猜测(可能是最不安全的)是应用程序中内置的 key ，但这里的问题是可能会恢复密码的不同攻击的风险。

下一步的猜测是找到某种可以用作密码生成器种子的设备标识符。这似乎又是一个有缺陷的方法。

最后一个想法是安全地随机生成密码并使用上述方法之一将其加密存储。

我的思路是正确的还是偏离的？

我对密码算法有相当的了解，但找到合适的应用程序却让我摸不着头脑。任何帮助将不胜感激。

谢谢

Answer 1

重点是:只要您的数据仅驻留在移动设备上，最终您就会受到限制。从这个意义上说:如果您需要以安全可靠的方式存储信息，那么您应该考虑“服务器端”解决方案。

如果这是不可能的，那么下一个最好的办法是让您的应用询问用户输入一个不同的密码 - 然后将其用作问题中概述的 key 。您绝对不想要一个适用于所有用户/设备的单个通用 key 。

但是，当然 - 要求用户每次想要使用该应用程序时输入特殊密码并不是您的用户会喜欢的解决方案。因此，您必须提供用户以某种方式存储该密码 - 这再次增加了潜在攻击的范围。

长话短说:如果没有“远程”服务，您只需平衡“用户体验”与“足够的安全性”。根据您的用户群，您必须确定对这些人来说哪个更重要 - 安全性还是便利性。