如何安全存储Android KeyStore密码

Question

在一个应用程序中，我使用Android密钥库。我已经为整个密钥库和每个密码条目设置了密码。因为这些密码是字符串，所以它们存储在代码的字符串成员中。

显然，如果我想发布应用程序，这是不安全的，因为潜在的攻击者可以反编译apk并获取密码，因为它是硬编码在应用程序中的。

我的问题是：

1. 在上面的场景中：攻击者是否能够读取我的密钥库文件，或者（在无根手机上）该文件是否只能由我的应用程序访问，因此仅密码是不够的？
2. 处理密钥库密码的最佳做法是什么？我环顾四周，但没有找到如何处理这个问题的明确答案。

编辑以澄清：我不谈论应用程序签名，而是关于在Android KeyStore中存储密码保护的密钥。应用程序必须在运行时访问密码才能检索密钥条目。

当前代码的示例:

String keyStorePwd = "password1";
String keyEntryPwd = "password2";

FileInputStream fis = getApplicationContext().openFileInput("sms.keystore");
KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());

ks.load(fis, keyStorePwd.toCharArray());

SecretKey key = (SecretKey) ks.getKey("aes_key_sms_notifier", keyEntryPwd.toCharArray());
fis.close();

Answer 1

不可能制定绝对的解决方案来保护Android应用程序（. apk文件）中的密码。但您可以尝试通过以下方式保护它：

• 混淆源代码。其他人需要花很多时间才能找到您用来保护信息的方法
• 混淆源代码中的所有字符串。所有明文字符串都将被隐藏，没有人能轻易看到

你可以通过两种方式做到这一点：

1. 手动混淆所有字符串，然后使用 Proguard 对源代码进行模糊处理。
2. 用途：Bg反编译器/混淆器。这是一种通过混淆，隐藏，伪造，检查来保护Android Java源代码的新解决方案,...技术

Answer 2

不建议在 APK 中存储密码。当我们谈论密钥库密码时，还有更多。是的，攻击者可以并且会找到读取密码的方法，因为这就是他们所做的。鲁莽地阅读APK中包含的密码。有一种方法可以使用 gradle 来指定如何存储密钥库密码，假设您使用 gradle。

PROPERTIES FILE
如果您使用版本控制，请修改您的. gitignore文件以排除keystore.properties，该文件将包含您的密码。然后将其推送到存储库中。这样做将防止共享项目中的其他开发人员知道密钥库详细信息。您现在可以在项目的根目录中创建实际的keystore.properties文件。该文件应包含以下内容：

keyAlias yourKeyAlias  
keyPassword yourKeyPassword  
storeFile pathOfYourKeyStoreFile  
storePassword passwordOfYourKeyStoreFile

GRADLE
设置< code>keystore.properties文件后，通过在< code>android {...}子句，例如:

def keystorePropertiesFile= rootProject.file("keystore.properties")  
def keystoreProperties = new Properties()  
keystoreProperties.load(new FileInputStream(keystorePropertiesFile))  

android { ... }  

在< code>android {...}，声明< code >签名配置{...}以便:

android {
  signingConfigs {
    config {
      keyAlias keystoreProperties['keyAlias']
      keyPassword keystoreProperties['keyPassword']
      storeFile file(keystoreProperties['storeFile'])
      storePassword keystoreProperties['storePassword']
    }
  }

  ...........  

}

最后，仍然在模块级gradle构建文件的android{…}内部，您应该有buildTypes{…}子句，其中包含debug{…}和释放{…}配置作为默认配置。修改发布配置如下：

  buildTypes {
    debug {
      *insert debug configs here*
    }
    release {
      *insert release configs here*

      signingConfig signingConfigs.config
    }
  }

定义签名在发布 { ... } 中定义签名Configs.config 将允许您在选择创建发布版本时自动对 APK 进行签名，所有这些操作都无需在 APK 中存储密钥库密码。干杯！