android - "Your app contains unsafe cryptographic encryption patterns"- 我怎样才能摆脱这个警告？

Question

几天前，在 Google Play 管理中心的“APK 预发布报告”中，它开始标记我

Unsafe encryption

Detected in APK ???

Your app contains unsafe cryptographic encryption patterns. Please see this Google Help Centre article for details.

Vulnerable classes:

c.j.a.s.J.b

<小时/>

但是，从 APK 诞生之初起，我就没有更改加密代码/描述代码中的任何内容。因此，我不确定为什么 Google 开始就最近的 APK 发出警告？

知道如何解决吗？因为，易受攻击的类 c.j.a.s.J.b 的信息没有帮助。

我尝试使用 Proguard + mapping.txt 来回溯 c.j.a.s.J.b 但能够弄清楚那是什么类。

知道如何摆脱 Google 安全警告吗？

Answer 1

Google Play 建议使用带有函数名称的易受攻击的类，您可以在对话框中看到。

检查您的应用中是否有静态计算的 key 、初始化向量和/或加密操作中使用的盐，并确保这些值的构造安全

例如:

public byte[] encryptionUtil(String key, String iv, byte[] plainText) {
    Cipher cipher = Cipher.getInstance(“AES/GCM/NoPadding”);
    SecretKeySpec keySpec = new SecretKeySpec(key.getBytes(), “AES”);
    GCMParameterSpec paramSpec = new GCMParameterSpec(256, iv.getBytes());
    cipher.init(Cipher.ENCRYPT_MODE, keySpec, paramSpec);
    return cipher.doFinal(plainText);
  }

并且您将函数调用为:

byte[] cipherText = encryptionUtil(“abcdef...”, “010203040506”, plainText);

这里您的加密 key “abcdef...”作为静态字符串提供。静态计算值是应用程序每次执行时都相同的值。可以从您的应用中提取静态计算的加密值并用于攻击应用的加密数据。

因此您可以使用EncryptedSharedPreferences来存储本地数据

引用链接https://developer.android.com/reference/androidx/security/crypto/EncryptedSharedPreferences

或者

Jetpack Security

了解更多详情: Remediation for Unsafe Cryptographic Encryption