एंड्रॉइड ऐप में एक गुप्त कुंजी के लिए एंटी-हैक समाधान?

Question

मुझे ऐप के अंदर एक निजी स्ट्रिंग कुंजी स्टोर करने की आवश्यकता है। इसका मूल्य कभी नहीं बदलेगा और कोड में मैन्युअल रूप से सेट किया जाएगा। मैं स्पष्ट रूप से इसे String के रूप में स्टोर नहीं कर सकता क्योंकि रिवर्स-इंजीनियरिंग विधि इसे प्रकट करेगी, यहां तक ​​कि obfuscation लागू भी किया जाएगा।

आप कैसे सुझाव देते हैं कि मैं इस निजी कुंजी की रक्षा करता हूं?

हालांकि मैं इसे डेटाबेस में सहेजने के बावजूद, लेकिन डेटाबेस को भी फोन से बाहर खींच लिया जा सकता है।

पीएस। यह कुंजी एक विशेष पैरामीटर है इसलिए एक महत्वपूर्ण विधि है और यह महत्वपूर्ण है कि यह किसी के लिए अज्ञात रहता है! यह एक डिक्रिप्टिंग कुंजी नहीं है। यह स्ट्रिंग एन्क्रिप्शन विधि (एमडी 5 या इसी तरह के) के पैरामीटर के रूप में उपयोग की जाएगी और फिर परिणाम हमारी इंटरनेट सेवा पर भेजा जाएगा।

संपादित

क्षमा करें, यह इतना जटिल बनाने के लिए। मैंने सोचा कि मुझे जितनी संभव हो उतनी जानकारी के साथ जवाब मिल सकता है।

यह ऐप उपयोगकर्ताओं को इंटरनेट सेवा में कुछ टेक्स्ट भेजने की अनुमति देगा जो तब उस टेक्स्ट को किसी वेब साइट पर पोस्ट करेगा। हमें यह सुनिश्चित करने की ज़रूरत है कि पाठ एंड्रॉइड फोन के माध्यम से भेजा गया है क्योंकि कोई भी वेब रोबोट स्क्रिप्ट एंड्रॉइड फोन की नकल कर सकती है और स्पैम पोस्ट कर सकती है। चूंकि मोबाइल फोन पर कैप्चा जैसी विधियों का स्वागत नहीं है, वहां एक गुप्त कुंजी होगी जो हैश कोड उत्पन्न करने के लिए एमडी 5 (कुछ अन्य चीजों के साथ) के माध्यम से रखी जाएगी। यह हैश इंटरनेट सेवा पर भेजा जाएगा। एमडी 5 परिणाम प्राप्त करने के लिए इंटरनेट सेवा एक ही कुंजी का उपयोग करेगी और उसके बाद यह देखने के लिए तुलना करें कि प्रेषक मोबाइल फोन या कुछ रोबोट है या नहीं।

यह वास्तव में अधिकतम मुझे कहने की अनुमति है। मुझे आशा है कि यह पर्याप्त है।

Answer 1

मैं सुझाव दूंगा कि आप अपनी सुरक्षा वास्तुकला पर पुनर्विचार करें। ऐप के साथ भेजा गया कुछ भी खोजने योग्य है। (उदाहरण के लिए, एंड्रॉइड की लाइसेंस सत्यापन लाइब्रेरी डिज़ाइन की गई है ताकि ऐप के साथ एक सार्वजनिक कुंजी भेजी जा सके।)

ऐप के लिए एक सर्वर (एक सुरक्षित सॉकेट या https कनेक्शन पर) से कुंजी पुनर्प्राप्त करने की संभावना है। यह स्पष्ट रूप से आवश्यक होगा कि ऐप सर्वर को कुछ प्रकार की पहचान/सत्यापन (शायद उपयोगकर्ता इनपुट के आधार पर) सबमिट करे।

यदि आप एन्क्रिप्शन के लिए कुंजी का उपयोग कर रहे हैं, तो एक और देखें कि सार्वजनिक कुंजी एन्क्रिप्शन को कैसे काम करना चाहिए। आपके ऐप में सार्वजनिक कुंजी होना चाहिए; इंटरनेट सेवा मेल खाने वाली निजी कुंजी के साथ डिक्रिप्ट कर सकती है।

Answer 2

यदि आप @ एडम की टिप्पणी के साथ व्यवस्थित हो सकते हैं, तो कम से कम एक समाधान है जिसे मैं फोन पर स्ट्रिंग मान को बनाए रखने के लिए जानता हूं ... अच्छी तरह से ... लगातार तरीका, जिसका अर्थ है कि मान अनइंस्टॉल करेगा/अपने ऐप को दोबारा स्थापित करें (एक फ़ैक्टरी रीसेट हालांकि इसे हटा देगा), फिर भी उपयोगकर्ता के लिए "छुपा" रहें (यानी सिस्टम निजी स्टोरेज में संग्रहीत, एसडी-कार्ड पर नहीं)। हाँ, एक निहित फोन पर एक आसान

myValue = System.getString(getContentResolver(), myKey); 

और:

आप सिस्टम सेटिंग्स सामग्री प्रदाता इसलिए की तरह मान संग्रहीत करने के लिए उपयोग कर सकते हैं:

final String myKey = "verySecretKey"; 
final String myValue = "verySecretValue"; 
final boolean isSuccess = System.putString(getContentResolver(), myKey, myValue); 

और इसे पुनः प्राप्त करने आप कर सकते हैं उपयोगकर्ता को लगातार मूल्य प्राप्त हो सकता है, लेकिन उस स्थिति में अब और कुछ भी पवित्र नहीं है और @ एडम की टिप्पणी मान्य होगी: आपको डिवाइस पर डेटा स्टोर नहीं करना चाहिए।