Comment stocker en toute sécurité le jeton d'accès et le secret dans Android?

Je vais utiliser oAuth pour récupérer les e-mails et les contacts de Google. Je ne veux pas demander à chaque fois à l'utilisateur de se connecter pour obtenir un jeton d'accès et un secret. D'après ce que j'ai compris, j'ai besoin de les stocker avec mon application soit dans une base de données, soit SharedPreferences. Mais je suis un peu inquiet pour les aspects de sécurité avec cela. J'ai lu que vous pouvez crypter et décrypter les jetons, mais il est facile pour un attaquant de simplement décompiler votre apk et vos classes et d'obtenir la clé de cryptage.
Quelle est la meilleure méthode pour stocker ces jetons en toute sécurité sur Android?

Stockez-les en tant que préférences partagées . Ceux-ci sont par défaut privés et les autres applications ne peuvent pas y accéder. Sur un appareil enraciné, si l'utilisateur autorise explicitement l'accès à une application qui tente de les lire, l'application pourra peut-être les utiliser, mais vous ne pouvez pas vous protéger contre cela. En ce qui concerne le chiffrement, vous devez soit demander à l'utilisateur de saisir la phrase de passe de déchiffrement à chaque fois (ce qui va à l'encontre du but de la mise en cache des informations d'identification), soit enregistrer la clé dans un fichier, et vous obtenez le même problème.

Il y a quelques avantages à stocker des jetons au lieu du mot de passe du nom d'utilisateur réel:

• Les applications tierces n'ont pas besoin de connaître le mot de passe et l'utilisateur peut être sûr de ne l'envoyer qu'au site d'origine (Facebook, Twitter, Gmail, etc.)
• Même si quelqu'un vole un jeton, il ne peut pas voir le mot de passe (que l'utilisateur peut également utiliser sur d'autres sites)
• Les jetons ont généralement une durée de vie et expirent après un certain temps
• Les jetons peuvent être révoqués si vous pensez qu'ils ont été compromis

Vous pouvez les stocker dans AccountManager . C'est considéré comme la meilleure pratique selon ces gars.

Voici la définition officielle:

Cette classe permet d'accéder à un registre centralisé des comptes en ligne de l'utilisateur. L'utilisateur entre les informations d'identification (nom d'utilisateur et mot de passe) une fois par compte, accordant aux applications l'accès aux ressources en ligne avec une approbation "en un clic".

Pour un guide détaillé sur l'utilisation de AccountManager:

• Tutoriel Udi Cohen
• Blog des Pilanites
• Présentation Google IO

Cependant, à la fin, AccountManager stocke uniquement votre jeton sous forme de texte brut. Donc, je suggérerais de crypter votre secret avant de les stocker dans AccountManager. Vous pouvez utiliser diverses bibliothèques de chiffrement comme AESCrypt ou AESCrypto

Une autre option consiste à utiliser la bibliothèque Dissimuler . C'est suffisamment sûr pour Facebook et beaucoup plus facile à utiliser que AccountManager. Voici un extrait de code pour enregistrer un fichier secret à l'aide de Conceal.

byte[] cipherText = crypto.encrypt(plainText);
byte[] plainText = crypto.decrypt(cipherText);

SharedPreferences n'est pas un emplacement sécurisé en lui-même. Sur un appareil enraciné, nous pouvons facilement lire et modifier les fichiers XML SharedPrefereces de toutes les applications. Les jetons devraient donc expirer relativement fréquemment. Mais même si un jeton expire toutes les heures, les nouveaux jetons peuvent toujours être volés à SharedPreferences. Android KeyStore doit être utilisé pour le stockage à long terme et la récupération des clés cryptographiques qui seront utilisées pour crypter nos jetons afin de les stocker par exemple dans SharedPreferences ou une base de données. Les clés ne sont pas stockées dans le processus d'une application, elles sont donc plus difficiles à compromettre.

Donc, plus pertinent qu'un lieu, c'est comment ils peuvent être eux-mêmes sécurisés, par exemple en utilisant des JWT de courte durée signés cryptographiquement, en les chiffrant à l'aide d'Android KeyStore et en les envoyant avec un protocole sécurisé

1. Dans le volet Projet de votre Android Studio, sélectionnez "Fichiers de projet" et créez un nouveau fichier nommé "keystore.properties" dans le répertoire racine de votre projet.

2. Ouvrez le fichier "keystore.properties" et enregistrez votre jeton d'accès et votre secret dans le fichier.

3. Maintenant charger la lecture du jeton d' accès et secret dans votre application du module build.gradle fichier. Ensuite, vous devez définir la variable BuildConfig pour votre jeton d'accès et secret afin que vous puissiez y accéder directement à partir de votre code. Votre build.gradle peut ressembler à ceci:

   ... ... ... 
   
   android {
       compileSdkVersion 26
   
       // Load values from keystore.properties file
       def keystorePropertiesFile = rootProject.file("keystore.properties")
       def keystoreProperties = new Properties()
       keystoreProperties.load(new FileInputStream(keystorePropertiesFile))
   
       defaultConfig {
           applicationId "com.yourdomain.appname"
           minSdkVersion 16
           targetSdkVersion 26
           versionCode 1
           versionName "1.0"
           testInstrumentationRunner "android.support.test.runner.AndroidJUnitRunner"
   
           // Create BuildConfig variables
           buildConfigField "String", "ACCESS_TOKEN", keystoreProperties["ACCESS_TOKEN"]
           buildConfigField "String", "SECRET", keystoreProperties["SECRET"]
       }
   }

4. Vous pouvez utiliser votre jeton d'accès et votre secret dans votre code comme ceci:

   String accessToken = BuildConfig.ACCESS_TOKEN;
   String secret = BuildConfig.SECRET;

De cette façon, vous n'avez pas besoin de stocker le jeton d'accès et le secret en texte brut dans votre projet. Ainsi, même si quelqu'un décompile votre APK, il n'obtiendra jamais votre jeton d'accès et votre secret car vous les chargez à partir d'un fichier externe.

Eh bien, vous pouvez sécuriser votre jeton d'accès en suivant deux options.

1. Utilisez enregistrez votre jeton d'accès dans le keystore Android qui ne serait pas inversé.
2. Utilisez la fonction NDK avec un calcul qui enregistre votre jeton et NDK avec du code C ++ très difficile à inverser