SharedPreferencesにキーを保存すれば、Facebook Concealはどのように安全ですか？

Question

SharedPreferencesに保存されているユーザーデータを保護したいので、Facebook Concealを探しました。

SharedPreferencesに格納する際の固有の問題は、データにアクセスしてデータを表示する方法があることです。したがって、それを見ることは役に立たないように暗号化することは当然考えられますが、Facebook ConcealもSharedPreferencesどのように安全ですか？このシナリオでのデータの表示は、鍵を取得してデータを復号化するために2つの追加ステップが必要になったようです。

私はここに何かが欠けていると想像しています。なぜなら、最初にデータが安全でない同じ場所にデータを解読するために使用されるキーを格納すると、なぜFacebook Concealが安全であるのかを明確にしています。

Answer 1

よく共有される設定は、公開または非公開にすることができます。しかし、それはすべて、キーと値のペアとその場所を格納するxmlファイルに割り当てられたセキュリティグループです。

セキュアなものが必要な場合は、SecureSharedPreference実装を使用できます。これは誰もあなたの情報を盗むことができないようにします（スーパーハッカーの笑を保証するものではありません）が、外国語を盗み、それをクラッキングするようなものになります。

ただし、盗難されていないことを確認したい場合は、ローカルデータベースを使用する方がよいでしょう。これは才能のあるハッカーの影響を受けやすいので、データベースで暗号化されていることと、あなたのアプリに秘密に保存されていることを確認することが重要な場合は、SQLCipherを使用することもできます。

あなたのアーキテクチャとセキュリティのニーズはあなた次第であり、セキュリティチームにとっては受け入れられるものです。ここでは、私が安全に保存してアクセスする必要のあるデータに使用するオープンソースのsecurePrefファイルですが、誰かが私の不器用さを盗んだ場合、それが何もできないため、世界の終わりではありません。

/* 
Copyright (C) 2012 Sveinung Kval Bakken, sveinung.bakken@gmail.com 
Permission is hereby granted, free of charge, to any person obtaining 
a copy of this software and associated documentation files (the 
"Software"), to deal in the Software without restriction, including 
without limitation the rights to use, copy, modify, merge, publish, 
distribute, sublicense, and/or sell copies of the Software, and to 
permit persons to whom the Software is furnished to do so, subject to 
the following conditions: 
The above copyright notice and this permission notice shall be 
included in all copies or substantial portions of the Software. 
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, 
EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF 
MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND 
NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE 
LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION 
OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION 
WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE. 
*/ 

import android.content.Context; 
import android.content.SharedPreferences; 
import android.util.Base64; 

import java.io.UnsupportedEncodingException; 
import java.security.GeneralSecurityException; 
import java.security.InvalidAlgorithmParameterException; 
import java.security.InvalidKeyException; 
import java.security.MessageDigest; 
import java.security.NoSuchAlgorithmException; 

import javax.crypto.Cipher; 
import javax.crypto.spec.IvParameterSpec; 
import javax.crypto.spec.SecretKeySpec; 


public class SecuredPreferences { 

    public static class SecurePreferencesException extends RuntimeException { 

     public SecurePreferencesException(Throwable e) { 
      super(e); 
     } 

    } 

     private static final String TRANSFORMATION = "AES/CBC/PKCS5Padding"; 
     private static final String KEY_TRANSFORMATION = "AES/ECB/PKCS5Padding"; 
     private static final String SECRET_KEY_HASH_TRANSFORMATION = "SHA-256"; 
     private static final String CHARSET = "UTF-8"; 

     private final boolean encryptKeys; 
     private final Cipher writer; 
     private final Cipher reader; 
     private final Cipher keyW 

riter; 
    private final SharedPreferences preferences; 

    /** 
    * This will initialize an instance of the SecurePreferences class 
    * @param context your current context. 
    * @param preferenceName name of preferences file (preferenceName.xml) 
    * @param secureKey the key used for encryption, finding a good key scheme is hard. 
    * Hardcoding your key in the application is bad, but better than plaintext preferences. Having the user enter the key upon application launch is a safe(r) alternative, but annoying to the user. 
    * @param encryptKeys settings this to false will only encrypt the values, 
    * true will encrypt both values and keys. Keys can contain a lot of information about 
    * the plaintext value of the value which can be used to decipher the value. 
    * @throws SecurePreferencesException 
    */ 
    public SecuredPreferences(Context context, String preferenceName, String secureKey, boolean encryptKeys) throws SecurePreferencesException { 
     try { 
      this.writer = Cipher.getInstance(TRANSFORMATION); 
      this.reader = Cipher.getInstance(TRANSFORMATION); 
      this.keyWriter = Cipher.getInstance(KEY_TRANSFORMATION); 

      initCiphers(secureKey); 

      this.preferences = context.getSharedPreferences(preferenceName, Context.MODE_PRIVATE); 

      this.encryptKeys = encryptKeys; 
     } 
     catch (GeneralSecurityException e) { 
      throw new SecurePreferencesException(e); 
     } 
     catch (UnsupportedEncodingException e) { 
      throw new SecurePreferencesException(e); 
     } 
    } 

    protected void initCiphers(String secureKey) throws UnsupportedEncodingException, NoSuchAlgorithmException, InvalidKeyException, 
      InvalidAlgorithmParameterException { 
     IvParameterSpec ivSpec = getIv(); 
     SecretKeySpec secretKey = getSecretKey(secureKey); 

     writer.init(Cipher.ENCRYPT_MODE, secretKey, ivSpec); 
     reader.init(Cipher.DECRYPT_MODE, secretKey, ivSpec); 
     keyWriter.init(Cipher.ENCRYPT_MODE, secretKey); 
    } 

    protected IvParameterSpec getIv() { 
     byte[] iv = new byte[writer.getBlockSize()]; 
     System.arraycopy("fldsjfodasjifudslfjdsaofshaufihadsf".getBytes(), 0, iv, 0, writer.getBlockSize()); 
     return new IvParameterSpec(iv); 
    } 

    protected SecretKeySpec getSecretKey(String key) throws UnsupportedEncodingException, NoSuchAlgorithmException { 
     byte[] keyBytes = createKeyBytes(key); 
     return new SecretKeySpec(keyBytes, TRANSFORMATION); 
    } 

    protected byte[] createKeyBytes(String key) throws UnsupportedEncodingException, NoSuchAlgorithmException { 
     MessageDigest md = MessageDigest.getInstance(SECRET_KEY_HASH_TRANSFORMATION); 
     md.reset(); 
     byte[] keyBytes = md.digest(key.getBytes(CHARSET)); 
     return keyBytes; 
    } 

    public void put(String key, String value) { 
     if (value == null) { 
      preferences.edit().remove(toKey(key)).commit(); 
     } 
     else { 
      putValue(toKey(key), value); 
     } 
    } 

    public boolean containsKey(String key) { 
     return preferences.contains(toKey(key)); 
    } 

    public void removeValue(String key) { 
     preferences.edit().remove(toKey(key)).commit(); 
    } 

public String getString(String key) throws SecurePreferencesException { 
    if (preferences.contains(toKey(key))) { 
     String securedEncodedValue = preferences.getString(toKey(key), ""); 
     return decrypt(securedEncodedValue); 
    } 
    return null; 
} 

public void clear() { 
    preferences.edit().clear().commit(); 
} 

private String toKey(String key) { 
    if (encryptKeys) 
     return encrypt(key, keyWriter); 
    else return key; 
} 

private void putValue(String key, String value) throws SecurePreferencesException { 
    String secureValueEncoded = encrypt(value, writer); 

    preferences.edit().putString(key, secureValueEncoded).commit(); 
} 

protected String encrypt(String value, Cipher writer) throws SecurePreferencesException { 
    byte[] secureValue; 
    try { 
     secureValue = convert(writer, value.getBytes(CHARSET)); 
    } 
    catch (UnsupportedEncodingException e) { 
     throw new SecurePreferencesException(e); 
    } 
    String secureValueEncoded = Base64.encodeToString(secureValue, Base64.NO_WRAP); 
    return secureValueEncoded; 
} 

protected String decrypt(String securedEncodedValue) { 
    byte[] securedValue = Base64.decode(securedEncodedValue, Base64.NO_WRAP); 
    byte[] value = convert(reader, securedValue); 
    try { 
     return new String(value, CHARSET); 
    } 
    catch (UnsupportedEncodingException e) { 
     throw new SecurePreferencesException(e); 
    } 
} 

private static byte[] convert(Cipher cipher, byte[] bs) throws SecurePreferencesException { 
    try { 
      return cipher.doFinal(bs); 
     } 
     catch (Exception e) { 
      throw new SecurePreferencesException(e); 
     } 
    } 
} 

これが役立ちます。安全な鍵のためにはあなた自身のランダムな塩を作りますが、それを固定しておきますので変更しません。