Android: การจัดเก็บชื่อผู้ใช้และรหัสผ่าน?

หากฉันต้องการเก็บชื่อผู้ใช้และรหัสผ่านไว้ในแอปพลิเคชัน Android วิธีที่ดีที่สุดในการทำคืออะไร มันผ่านหน้าจอการตั้งค่า (แต่จะเกิดอะไรขึ้นหากผู้ใช้พลาดสิ่งนี้?) หรือเปิดกล่องข้อความขึ้นมาแล้วถามผู้ใช้เพื่อรับข้อมูลรับรอง ถ้าเป็นเช่นนั้นฉันจะต้องรักษาสถานะสำหรับแอปพลิเคชัน ฉันจะทำสิ่งนี้ได้อย่างไร

แอพ Android และ iPhone ส่วนใหญ่ที่ฉันเคยเห็นใช้หน้าจอเริ่มต้นหรือกล่องโต้ตอบเพื่อขอข้อมูลประจำตัว ฉันคิดว่าเป็นเรื่องยุ่งยากที่ผู้ใช้จะต้องป้อนชื่อ / รหัสผ่านซ้ำบ่อยครั้งดังนั้นการจัดเก็บข้อมูลที่เหมาะสมจากมุมมองการใช้งาน

คำแนะนำจาก ( คู่มือ dev ของ Android ) คือ:

โดยทั่วไปเราขอแนะนำให้ลดความถี่ในการขอข้อมูลรับรองผู้ใช้ - เพื่อให้การโจมตีแบบฟิชชิงมีความชัดเจนมากขึ้นและมีโอกาสประสบความสำเร็จน้อยลง ใช้โทเค็นการอนุญาตและรีเฟรชแทน

หากเป็นไปได้ไม่ควรจัดเก็บชื่อผู้ใช้และรหัสผ่านในอุปกรณ์ ให้ดำเนินการพิสูจน์ตัวตนครั้งแรกโดยใช้ชื่อผู้ใช้และรหัสผ่านที่ผู้ใช้จัดหาจากนั้นใช้โทเค็นการอนุญาตเฉพาะช่วงสั้น ๆ

การใช้AccountMangerเป็นตัวเลือกที่ดีที่สุดสำหรับการจัดเก็บข้อมูลรับรอง SampleSyncAdapterให้เห็นตัวอย่างของวิธีการใช้มัน

หากนี่ไม่ใช่ตัวเลือกสำหรับคุณด้วยเหตุผลบางประการคุณสามารถถอยกลับไปยังหนังสือรับรองที่ยังคงอยู่โดยใช้กลไกการตั้งค่า แอปพลิเคชันอื่น ๆ จะไม่สามารถเข้าถึงการตั้งค่าของคุณดังนั้นข้อมูลของผู้ใช้จะไม่ถูกเปิดเผยได้อย่างง่ายดาย

คุณควรใช้ Android AccountManager AccountManagerมันสร้างขึ้นตามวัตถุประสงค์สำหรับสถานการณ์นี้ มันค่อนข้างยุ่งยากนิดหน่อย แต่สิ่งหนึ่งที่มันทำคือทำให้ข้อมูลประจำตัวในท้องถิ่นนั้นไม่ถูกต้องหากซิมการ์ดเปลี่ยนไปดังนั้นหากใครบางคนกวาดโทรศัพท์ของคุณและโยนซิมใหม่ลงไปมันจะไม่ถูกทำลาย

สิ่งนี้ยังช่วยให้ผู้ใช้เข้าถึงวิธีที่ง่ายและรวดเร็วในการเข้าถึง (และอาจลบ) ข้อมูลรับรองที่เก็บไว้สำหรับบัญชีใด ๆ ที่พวกเขามีบนอุปกรณ์ทั้งหมดนี้ได้จากที่เดียว

SampleSyncAdapter (เช่น @Miguel ที่กล่าวถึง) เป็นตัวอย่างที่ใช้ประโยชน์จากข้อมูลรับรองบัญชีที่เก็บไว้

ฉันคิดว่าวิธีที่ดีที่สุดในการรักษาความปลอดภัยให้กับข้อมูลประจำตัวของคุณคือการคิดถึงการจัดเก็บรหัสผ่านด้วยการเข้ารหัสในไฟล์ account.db ซึ่งไม่สามารถใช้งานได้ง่ายในอุปกรณ์ที่ไม่ได้รูทและในกรณีของอุปกรณ์รูท มัน.

ตัวเลือกอื่นทำการรับรองความถูกต้องของคุณเช่นเดียวกับที่ Gmail ทำ หลังจากการตรวจสอบสิทธิ์ครั้งแรกกับเซิร์ฟเวอร์ Gmail คุณได้รับ Auth Token ที่จะใช้ในกรณีที่รหัสผ่านของคุณ โทเค็นนั้นจะถูกจัดเก็บในข้อความล้วนโทเค็นนี้อาจเป็นเท็จในกรณีที่คุณเปลี่ยนรหัสผ่านจากเซิร์ฟเวอร์

ตัวเลือกสุดท้ายที่ฉันอยากแนะนำให้คุณเปิดใช้งานการตรวจสอบสิทธิ์แบบ 2 ปัจจัย & สร้างรหัสผ่านเฉพาะอุปกรณ์สำหรับอุปกรณ์ของคุณ หลังจากสูญเสียอุปกรณ์สิ่งที่คุณต้องทำก็คือปิดการใช้งานอุปกรณ์นั้น

ดูวิธีที่เหมาะสมที่สุดในการจัดเก็บการตั้งค่าผู้ใช้ในแอปพลิเคชัน Android คืออะไรหากคุณกังวลเกี่ยวกับการเก็บรหัสผ่านเป็นข้อความที่ชัดเจนใน SharedPreferences

คุณยังสามารถดูตัวอย่างSampleSyncAdapter ได้จาก SDK มันอาจช่วยคุณได้

ลองดูที่โพสต์นี้จากนักพัฒนา android ที่อาจช่วยเพิ่มความปลอดภัยให้กับข้อมูลที่เก็บไว้ในแอพ Android ของคุณ

การใช้ Cryptography เพื่อเก็บข้อมูลรับรองอย่างปลอดภัย

กับใหม่ (Android 6.0) ฮาร์ดแวร์ลายนิ้วมือและ API คุณสามารถทำมันในขณะนี้โปรแกรมตัวอย่าง GitHub

เหล่านี้จะถูกจัดอันดับอยู่ในลำดับของความยากลำบากที่จะทำลายข้อมูลที่ซ่อนของคุณ

1. เก็บในข้อความที่ชัดเจน

2. เก็บการเข้ารหัสโดยใช้คีย์สมมาตร

3. การใช้ Android Keystore

4. เก็บการเข้ารหัสโดยใช้คีย์ไม่สมมาตร

แหล่งที่มา: ที่ที่ดีที่สุดในการเก็บรหัสผ่านในแอพ Android ของคุณอยู่ที่ไหน

Keystore นั้นถูกเข้ารหัสโดยใช้รหัสล็อค / รหัสผ่าน lockscreen ของผู้ใช้ดังนั้นเมื่อหน้าจออุปกรณ์ถูกล็อค Keystore จะไม่สามารถใช้งานได้ จำไว้ว่าหากคุณมีบริการพื้นหลังที่อาจจำเป็นต้องเข้าถึงความลับของแอปพลิเคชันของคุณ

แหล่งที่มา: ใช้ Android Keystore อย่างง่าย ๆ ในการจัดเก็บรหัสผ่านและข้อมูลที่ละเอียดอ่อนอื่น ๆ

ข้อมูลที่http://nelenkov.blogspot.com/2012/05/storing-application-secrets-in-androids.htmlเป็นวิธีปฏิบัติที่ค่อนข้างเป็นธรรม แต่ "ใช้ - ซ่อน - android-apis" ตามแนวทาง เป็นสิ่งที่ควรพิจารณาเมื่อคุณไม่สามารถหลีกเลี่ยงการจัดเก็บข้อมูลประจำตัว / รหัสผ่านในเครื่องได้

ฉันได้สร้างส่วนสำคัญของแนวคิดนั้นที่https://gist.github.com/kbsriram/5503519ซึ่งอาจเป็นประโยชน์