che è il modo più sicuro per includere una coppia di chiavi (pubblica/privata) in un apk

Question

Sto sviluppando un'applicazione per Android e devo mantenere una comunicazione sicura con un server attraverso una coppia di chiave privata e pubblica. Qual è il modo più sicuro per memorizzare la chiave privata nel mio apk? Ovviamente ho intenzione di offuscare il codice ma voglio più sicurezza. Ho pensato la seguente opzione:

Se creo una libreria di condivisione nativa con i metodi per firmare le informazioni di transazione, l'apk deve solo contenere il file .so e questo file è in codice macchina, quindi la decompilazione potrebbe essere difficile, non è vero?

qualche idea? Grazie

Answer 1

Prima di tutto, per implementare comunicazioni sicure tra l'applicazione client e un server, concettualmente, è necessaria solo la chiave pubblica del server. Ciò consente di stabilire una relazione di fiducia unidirezionale con il server e di stabilire una sessione sicura, in cui è garantita l'identità del server.

Mentre il metodo precedente non fornisce un trust bidirezionale (il client non può essere identificato sul server), quando si stabilisce il canale di comunicazione nella maggior parte delle applicazioni, questo livello di affidabilità non è realmente richiesto.

Se i requisiti per fornire l'autenticazione del client al server utilizzando chiavi pubbliche/private, le cose diventano più complicate perché se inserisci la chiave nell'apk, non importa quanto lo offuscate (inclusa l'incorporamento in una libreria nativa) rallenterà solo un utente nefasto dedicato.

L'unico modo per conservare la chiave privata con il cliente è per crittografare esso. Ma poi hai un problema simile a dove memorizzare la chiave di decrittografia. La soluzione più semplice è generare una coppia di chiavi pubblica/privata per l'utente dell'applicazione client e chiedere all'utente di fornire una chiave di crittografia/decrittografia simmetrica (che l'utente dovrà sempre digitare) per decrittografare la chiave privata ogni volta che l'utente sta usando l'applicazione.

L'alternativa sarebbe utilizzare una sorta di dispositivo hardware crittografico dedicato simile a una smart card che memorizzerebbe la chiave privata in modo sicuro ma si ha ancora il problema di autorizzare l'applicazione a leggere la chiave dal dispositivo (per non parlare la complicazione dell'interfacciamento con detto dispositivo).

Ora, la domanda che devi porsi è questa: "Chi stai cercando di impedire di leggere la chiave privata?" (ovviamente dopo aver risposto l'altra domanda: "Hai veramente bisogno/privato coppia di chiavi pubblica una per il cliente").

Answer 2

Conservare la coppia di chiavi in ​​un chiavi e include il keystore come risorsa nel vostro APK. Android tende a preferire la (BKS) formato BouncyCastle archivio chiavi. I keystore sono progettati appositamente per questo scopo.

Si noti che è necessario proteggere il keystore con una password e l'applicazione dovrà conoscere tale password per accedere al keystore. Quindi, ti rimane la necessità di chiedere all'utente una password per accedere al keystore o includere la password nel tuo codice (offuscarla per rendere più difficile a un utente malintenzionato il retroingegnerizzazione). Se qualcuno sta affrontando il problema del reverse engineering dell'applicazione per ripristinare il keystore crittografato e la password necessaria per accedervi, inclusa la password in una libreria nativa compilata non presenterà un ostacolo aggiuntivo.

Tuttavia, potrebbe non essere necessario per farlo in ogni caso.Se il tuo obiettivo è proteggere/crittografare i dati nel trasporto da/verso il server, usa SSL/TLS. Se non stai facendo l'autenticazione lato client, il tuo server ha bisogno di un certificato SSL ma il tuo client no; il protocollo si occupa di generare le chiavi di crittografia in modo sicuro. Se vuoi che il server autentifichi il client (fai in modo che il tuo server parli solo con i tuoi clienti), devi installare un certificato SSL sul lato client con la tua app ... questa è la chiave privata che stai probabilmente a pensare.

Ti indicherò anche a Application Security for the Android Platform. Questo libro (disclaimer: ho scritto il libro) ha un intero capitolo che parla di come progettare comunicazioni Android app-to-server sicure, con esempi di codice per illustrare come implementare le protezioni appropriate. Puoi dargli una lettura.