翻译自Santi Aguilera的<Android and keeping the data safer>
原著文章请点击:
当我们开发一款Android应用的时候，经常碰到一些无可避免的情况：如何安全的保存数据，不会泄露出去。
当我们这些数据被别人窃取的时候，会带来灾难性的损失。那么我们应该怎么保存这些数据呢？
本文的目的是揭露出我们保存数据的风险之处，并且提出一个更加好的解决方案。
本文提出的解决方案是专门针对保存在手机端的数据的。
如果可以把重要的数据都放后台，那么笔者建议尽量都放在后台，而不是放在手机端（因为放在服务器我们已经有成熟的解决方案）。
举个例子：
假设我们有一张电子信用卡，需要开发一个专门的app来通过利用该信用卡来完成支付，后台有一个处理支付的api接口。这种情况下，电子信用卡是必须放在后台管理的，而不是手机。而且该电子信用卡是必须要隔离和加密的。在这种情况下，电子信用卡作为后台的资源进行管理，然后通过接口和app来完成支付功能。
然而，在继续进行阅读前，我们必须要先理清楚一个概念：
并没有完美的解决方案，正如这世间并不存在让人长生不老的灵丹妙药。
『并不存在绝对的安全。被破解是必然的。安全只不过是尽可能的用有效的方法进行组合并用，尽量的给破解制造障碍，极大的降低被破解的速度。』 - Santi Aguilera
常见的方法
我们常用的一些保存数据的方法有以下几种:
- 保存在一个常量类中：
public static final class Constants {
public static final String MY_TOKEN = "???";
}
- 保存在一个xml文件中， 如strings.xml， 或者：
<resources>
<string name="my_token">???</string>
</resources>
这两种方法都相当的蹩脚，我们只需要用一个apk文件解析工具，就可以拿到数据。明显不是什么好方法。
- 使用proguard进行代码混淆，把数据保存在类中（要注意的是proguard不会对资源文件进行混淆）
这种方法会比上面两种方法好很多，但是这种方法也需要开发者把整个app工程都进行代码混淆-要完成这个工作可不是一时半刻就可以的。
而且，针对这种方法，我们可以通过逆向工程工具然后debug apk来找到一些初始化位置或者高度加密数据。譬如我们可以从manifest文件中找到Application类。
- 保存在so包中
该方法比上面的用proguard进行混淆要好点。但是针对so包，我们可以用一下简单的指令，如
strings libwithconstants.so
再花点时间筛选出我们需要的数据，我们就可以获取到里面的数据。而且，so包可以通过debug找出JNI函数方法的返回值，最终数据还是会被泄露出去。
- 使用SharedPreferences / AccountManager/等等
该方法也是无效的，因为我们总需要显式的声明数据保存的位置。只需要破解apk文件找到保存数据的逻辑，就可以找到数据了。
- 将数据加密再保存，要使用的时候取出再解密
该方法增大了破解者的难度，因为他们需要知道是用什么方法加密的。 但是需要记住的是，加密方法的逻辑还是保存在代码中。只需要花点时间从代码找出加密方法就可以解密数据了。
提出新方案
常见的方法还有不少，但是通过列举上面的集中方法，我们可以得出一些结论:
- 入侵者有一千万种方法破解你的代码并且随意查看
- 入侵者可以debug app
- 尽管我们加入一些代码来防止被debug，但是入侵者可以移除这些代码然后重新打包一个新的apk
联想以上三点，我们似乎找到了正确的道路。如果我们针对上面的情况进行有效的干预，是不是入侵者破解数据的时间就可以称为：
"彼时的一时半刻，今日的海枯石烂！"
但是，怎么进行有效的干预呢？！
- JNI是你的好朋友。尽管可以通过dump来获取汇编代码（不同的ABI，编译器是不一样的），但是比java字节码要安全得多（甚至有些脚本可以直接把字节码转换成java代码）。
- 必须使用加密。我们不能让入侵者dump完之后直接就可以获取数据。让他们通过dump只能获取加密过后的包，而不是数据。
- 分而治之，把数据分成几个部分存放在不同的地方，合并数据的逻辑也分做几个部分放到不同的位置。要记住，dump方法找出标记很简单，但是阅读汇编代码并且联系在一起不是一件简单的事情。
- 在数据包中加入检查逻辑。譬如：检查是否正在运行adb， 检车设备是否debug mode， 检查app签名是否正确，检查akp的安装来源是否是认证过的，检查设备是否已经root，检查是不是正在使用模拟器等等。
通过以上方法， 我们已经把所有风险都集中成了两个点：
- JNI： 入侵者可以通过dump，阅读汇编代码并且理解其中加密逻辑（找到所有加密数据以及加密方案）
- Java：入侵者可以模拟一个环境（stubbing class）避开我们的所有检查（譬如签名认证，安装来源认证，不是debug状态，不是模拟器，没有用adb，不是root的设备等等）来debug我们的包进行破解。
总结
针对以上所述，笔者提供了一个工具：SecureKeys. 这是一个采用上面的提到的几个方法的工具包，同时也有很高的适用性
你可以在以下地址获取:
https://github.com/saantiaguilera/android-api-SecureKeys
工作原理?
采用上面提出的方法。
为了保存和方便配置，我们使用注解（annotations）, 因为工具包代码不会和apk包一起打包发布，所以我们可以通过这种方法进行操作以及生成相关的native代码。
配置方法如下:
// This goes in the root build.gradle
buildscript {
repositories {
classpath "com.saantiaguilera.securekeys:plugin:2.0.0"
}
}
// This goes in the module build.gradle
apply plugin: 'saantiaguilera.securekeys'
dependencies {
compile "com.saantiaguilera.securekeys:core:2.0.0"
annotationProcessor "com.saantiaguilera.securekeys:processor:2.0.0"
}
然后再我们的MainApplication中使用:
@SecureConfigurations(
aesKey = { /* 32 byte array length key */ },
aesInitialVector = { /* 16 byte array length iv */ },
useAesRandomly = false, /* Generates random key/iv for each build. This overwrites custom keys/ivs */
blockIfDebugging = false, /* Library shuts down itself if detects a phone in debug */
blockIfADB = false, /* Library shuts down itself if ADB is detected */
blockIfEmulator = false, /* Library shuts down itself if phone is an emulator */
blockIfPhoneNotSecure = false, /* ... if phone is rooted or alike */
allowedInstallers = { /* Array of strings */ },
certificateSignature = "hash" /* hashCode of the certificate used to sign the apk */
)
public class MainApplication extends Application {
public void onCreate() {
super.onCreate();
SecureEnvironment.initialize(this);
}
}
最后，可以像常量一样方便的使用。要注意的是：
记得要把值都只放在注解中，不要写在java代码里面！！！否则我们就一夜回到解放前了。
@SecureKey(key = "token", value = "???")
public class RestClientBuilder {
// ...
}
多个数值可以用数组:
@SecureKeys(
@SecureKey(key = "x", value = "y"),
@SecureKey(key = "?", value = "test")
)
private int someMethod() {
// ...
}
最后，需要使用的话直接使用以下方法获取:
SecureEnvironment.getString("token");
SecureEnvironment.getDouble("ads_poll_time");
SecureEnvironment.getLong("facebook_app_id");
是不是很简单呢？不管你信不信，通过这个工具，上面提到的所有方法都已经应用到了你的数据中。
希望能帮到你。如果有什么问题或者想法、意见、建议或者评论等，不要犹豫啦，赶紧联系我吧。
注:
- 作者：Santi Aguilera
- 译者：ThomasLiao
网友评论