Sicurezza SharedPreference Android

Question

Mi chiedo sulla sicurezza delle preferenze condivise.

È possibile accedere a sharedpreferences, anche se sono stati creati in MODE_PRIV (0)?
È possibile elencare tutte le sharedpreferences disponibili e quindi recuperare tutte le impostazioni da altre app?
È sharedpreferences un buon posto per inserire dati sensibili, come password o token di autenticazione?

Grazie

Answer 1

Preferenze condivise sono STO rosso come file nel filesystem sul dispositivo. Sono, per impostazione predefinita, memorizzati all'interno della directory dei dati dell'app con le premesse del filesystem che consentono solo l'UID con cui viene eseguita l'applicazione specifica per accedervi. Quindi, sono privati ​​in quanto le autorizzazioni dei file Linux limitano l'accesso a loro, come su qualsiasi sistema Linux/Unix.

Chiunque abbia accesso al dispositivo a livello di root sarà in grado di vederli, dato che la root ha accesso a qualsiasi cosa sul filesystem. Inoltre, qualsiasi applicazione che viene eseguita con lo stesso UID dell'applicazione di creazione sarebbe in grado di accedervi (di solito non viene eseguita e è necessario intraprendere azioni specifiche per far funzionare due app con lo stesso UID, quindi probabilmente non è una grande preoccupazione). Infine, se qualcuno è stato in grado di montare il filesystem del dispositivo senza utilizzare il sistema operativo Android installato, potrebbe anche ignorare le autorizzazioni che limitano l'accesso.

Se sei preoccupato per tale accesso alle tue preferenze (o ai dati scritti dalla tua applicazione), allora dovrai crittografarlo. Se sei preoccupato per loro, avrai bisogno di capire esattamente quanta protezione è necessaria per il livello di rischio che vedi. C'è una discussione molto ampia su questo argomento nel Application Security for the Android Platform, appena pubblicata nel dicembre 2011 (dichiarazione di non responsabilità: sono l'autore di questo libro).

Answer 2

Normalmente, no, non è possibile accedere da altre applicazioni, tuttavia, si dovrebbe notare che SharedPreferences sono archiviati come file XML nella directory /data/data/, il che significa in sostanza che qualsiasi applicazione con privilegi di superutente su un dispositivo radicatapuò accesso tuoi SharedPreference s, anche se sono stati creati con MODE_PRIV

Answer 3

SharedPreferences non sono altro che file XML nel vostro telefono/dati/data/cartella, quindi qualsiasi applicazione o utente con i privilegi di superuser su un dispositivo radicata possono accedere ai SharedPreferences, anche se sono stati creati con MODE_PRIV

Ancora c'è un modo per proteggerlo da parte di tutti ... Si prega di controllare questo link. Qui puoi memorizzare i dati in pref con crittografia, la classe è autoesplicativa e molto facile da usare.

https://github.com/sveinungkb/encrypted-userprefs

Come detto da altri chiunque può accedervi ma in questo caso non si può leggere dati all'interno come è criptato. Quindi è sicuro. Per la sicurezza massima il mio suggerimento sarà quello di generare la chiave utilizzata per la crittografia in fase di esecuzione piuttosto che codificarla. Ci sono molti modi per farlo :)