加密文件或字符串安全的android

Question

我目前在我的应用程序中遇到了安全问题。 我的应用程序每 10 分钟记录一次用户的 GPS 位置，并在 12 小时后将数据发送到服务器。 我目前正在将用户的位置保存在内部存储器的 *.txt 文件中。 现在，我需要保护这个文件，以便它只能在我的应用程序中进行编辑，这样用户就无法破解它并更改记录的 gps 位置。

我已阅读有关加密字符串或文件本身的信息，但这是我的问题。 即使在代码混淆的情况下，stackoverflow 上的人们也不建议对密码进行硬编码。 我还能如何保护此文件上的数据？我自己使用 ProGuard + 代码混淆（位移、数学运算等）不足以将密码保存在我的代码中？ 感谢任何 cmets，我需要这样做是安全的，因为数据必须保持不变。 谢谢！！

Answer 1

如果密码在内存中，即使未加密/混淆，只要用户知道他们在做什么，它就可以被恢复和/或滥用。

要解决此问题，您应该让应用从服务器请求密钥以用于加密。密钥本身应该使用 SSL 加密/签名，这样您就可以保证您的服务器发送了密钥，并且在此过程中密钥不会被截获。立即从内存中清除密钥，使其不再保留在设备上。

这个解决方案仍然不是万无一失的。用户可以对应用程序进行逆向工程并告诉它使用任何旧密钥。只要您将坐标存储在设备上，它们就会以某种方式受到攻击。使用我刚才描述的技术，攻击者仍然可以欺骗 GPS 源，或者使用重放攻击。为防止这种情况，您需要为每次保存使用不同的密钥，并在服务器上跟踪应用密钥的顺序。

更安全的方法是根本不在设备上存储位置。一旦它们可用，就立即上传它们，使用加密/签名 SSL 方法来防止篡改。在服务器上对其进行健全性检查，以排除不良的欺骗工作。当信任来自设备的数据（例如 GPS 坐标）时，您就有被聪明的攻击者操纵的风险。