标签归档:okhttp

Android 密钥保护和 C/S 网络传输安全理论指南

预览:本文将着重讲解 Android KeyStore、so 库保护 app key / secret、HTTPS 原理及其防中间人攻击措施。

谈到 Android 安全性话题,Android Developers 官方网站给出了许多很好的建议和讲解,涵盖了存储数据、权限、网络、处理凭据、输入验证、处理用户数据、加密等方方面面,甚至对于动态加载代码也提供了建议,具体可以看看 training 的 security tips 章节。而今天,我想特别来讲一讲在 Android 密钥保护和 C/S 网络传输安全 这两方面的具体安全措施。

密钥的保护以及网络传输安全 应该是移动应用安全最关键的内容。

所谓的密钥,简单来说,可以认为是我们常用的 app key / secret / token 或数据加密的 key,这些 keys 就像我们宝库的钥匙,一旦泄露,就像大门被人撬开,什么安全都无从谈起。因此,密钥们的安全存储、防窃取便显得异常重要。我曾经看过许多国内外著名的应用在使用自家 API 或 SaaS 服务的时候,在 Java 代码或 SharePreferences 里明文记录着 app key / secret / token,这样的做法,就算使用了 proguard 对代码进行混淆,也是非常容易被逆向获得服务端接入密钥,非常危险。

在这一方面,Android 提供大量用来保护数据的加密算法,例如 Cipher 类中提供了 AES 和 RSA 算法,再例如安全随机数生成器 SecureRandom 给 KeyGenerator 提供了更加可靠的初始化参数,避免离线攻击等等。

而如果需要存储密钥以供重复使用,Android 提供了 KeyStore 等可以长期存储和检索加密密钥的机制,Android KeyStore 系统特别适合于存储加密密钥。”AndroidKeyStore” 是 KeyStore 的一个子集,存进 AndroidKeyStore 的 key 将受到签名保护,并且这些 key 是存在系统里的,而不是在 App 的 data 目录下,依托于硬件的 KeyChain 存储,可以做到 private key 一旦存入就无法取出,总之,每个 App 自己创建的 key,别的应用是访问不到的。

继续阅读