アンドロイドコードバの秘密鍵の保存方法

Question

サーバーとデータを接続するAndroid/phonegapアプリを想像してみましょう。私はあなたがアプリを持っている場合にのみ、サーバーからAPIを使用できるように、私はいくつかの秘密鍵を使いたいです。

キーチェーンと呼ばれるios用のプラグインがありますが、アンドロイドと似たものは見つかりませんでした。さて、これは解決された問題でなければなりません。多くのアプリではアンドロイド上のサーバーにAPIを使用しています。これをどうやって解決しますか？

私の主な目的はプライベートキーを生成するのではなく、サーバーをプライベートに保つことです（アプリケーションを持っている人向け）。私が最初に考えた秘密鍵を生成する方法があれば、アンドロイドでphonegapを使用する際に秘密鍵を安全に保存する方法を見つけることができません。私が持っているクローズは、javascriptに入れて、コードを難読化しています。

私はアンドロイドキーストアを見つけましたが、私が正しく理解すれば、それは私が必要としない暗号化のためです。

Answer 1

コンパイル時の鍵を安全にすることは事実上不可能です。コード内にあります。それをユーザーから保護することはさらに困難です。

プラットフォームによっては、ファイルを調べて実行可能ファイルを表示することができます。 iOSを含む他のプラットフォームは、実行可能ファイルを暗号化し、実行時まで利用できません。

難読化はあなたの最善のアプローチかもしれませんが、それは仕事の要素を最小限に増加させるだけであることを理解してください。

キーチェーンやキーストーンにキーを保存しても、ユーザーからの保護には役立ちません。ユーザーはアクセス権があり、キーはコード内に残ります。

また、現在のサーバー構成でhttpsを使用し、証明書を固定する必要があります。

セキュリティを強化する必要がある場合は、最初に実行したときにキーを作成するか、ユーザーにログインさせる必要があります。