Come confermare le credenziali del dispositivo prima di Android 5.0 (API 21)?

Question

Ho un caso d'uso che richiede all'utente di confermare le credenziali del dispositivo e il metodo createConfirmDeviceCredentialIntent in KeyguardManager soddisfa perfettamente le mie necessità. Tuttavia, questo metodo è stato aggiunto dall'API 21. (reference link) Quindi, come posso ottenere la stessa funzionalità prima di Android 5.0? Voglio anche supportare versioni come Android 4.X.

Grazie!

Answer 1

Prima di 21 livello questo non è certamente possibile su dispositivi non root e non ci sono alternative con permessi regolari.

Se è ok per richiedere i permessi di amministratore in più, probabilmente è possibile emulare la conferma delle credenziali molto vagamente, con molta più fatica, mediante l'attuazione di DeviceAdminReceiver.onPasswordSucceeded. Blocca lo schermo, quando la password è riuscita eseguire l'azione richiesta. Ciò può rivelarsi relativamente complesso perché l'azione non viene sempre ricevuta (solo se lo stato è cambiato), è necessario mantenere l'ultimo successo, comunicare con il ricevente, ecc.

Come nota a margine, ricontrollare il caso d'uso e il tuo progetto, nella maggior parte dei casi in cui viene utilizzato createConfirmDeviceCredentialIntent, non è in realtà richiesto e altre scelte di progettazione potrebbero eliminarne la necessità.

È stato meglio fornire dettagli su cosa esattamente si sta tentando di proteggere. Se si tratta di uno scenario per l'accesso accidentale al dispositivo da parte di una persona non autorizzata e un token permanente viene generato, ad esempio, da qualche servizio oauth, può essere ragionevole riautorizzare attraverso lo stesso flusso di accesso al servizio o memorizzare alcune hmac di credenziali originali. insieme al token, quindi, richiede e riconvalida le credenziali invece di richiedere le credenziali del dispositivo. In alternativa, se questo è sufficiente per il caso d'uso, puoi utilizzare google login per autorizzare l'accesso alla tua app/token e verificare che l'utente google sia lo stesso per il token memorizzato.

Answer 2

La risposta migliore che ho visto per questa situazione è descritta in un post sul blog:

Android Secrets

Tuttavia, ricrea classi di sistema che sono private e chiama il codice AOSP che non è pubblico. La mia taglia è per una risposta migliore che non richiederebbe una denominazione di classe esplicita all'interno del progetto. Forse è possibile utilizzare Smart Lock o un'altra fantastica libreria di sicurezza per la compatibilità con le versioni precedenti di cui ho bisogno.