アンドロイドでAESを使用した暗号化とJavaでの復号化

Question

私はアンドロイドのパスワード文字列を暗号化してデータベースに保存しています。これは "パスワードを忘れたパスワード"を実装するために、暗号化されたパスワード "をjavaに入れます。

はアンドロイドで暗号化/復号化のために、このライブラリを使用： com.scottyab：aescrypt：0.0.1

をすべてのヘルプは高く評価されます。 ありがとうございます。

Answer 1

あなたは間違っています（不確実に）。

1. クライアントでパスワードを暗号化しないで、POSTリクエストでHTTPS経由でプレーンテキストでサーバーに送信します。

2. サーバー上のパスワードを暗号化しないでください。ハッシュする時間が〜100msであるようにsaltとiterationを含むパスワードの安全なハッシュ方法（私のコメントを参照）を使用してください。あなたは元のパスワードにアクセスすることはできません。それは、攻撃者がどちらもしないためです。はい、攻撃者が存在し、管理者のアクセス権を得て、計画を立てます。

3. パスワードリセットでは、新しいパスワードの作成に使用する時間制限リセットトークンをユーザーに送信します。

注意：サーバーで2要素認証を使用し、アクセス権を持つユーザーの数を制限します。