RSA Özel Anahtarını Kaydetme Android

Question

Mesajları şifrelemek/şifrelemek ve internetten göndermek için basit bir mesajlaşma uygulaması olan android uygulaması sırasında, RSA public/private anahtar şifrelemeyi kullanmaya karar verdim. Soru özel anahtarın nasıl saklanacağıdır, böylece telefon kötüye kullanıldığında bile anahtar güvenli kalır mı? Anladığım kadarıyla, KeyStore sertifikalar için kullanılıyor ve bunun için kullanılamaz mı? Özel anahtarı AES ile metin dosyası olarak şifrelemeli miyim? Güvenlik konusunda çok az tecrübem var, bu yüzden lütfen fikirlerimi düzeltmekten çekinmeyin ve fikrinizi verin!

Saygılarımızla.

Answer 1

Bence KeyStore kullanımınıza uygun olabilir. RSA anahtarlarını saklayabilir ve AES kullanarak bunları şifreleyebilir, böylece root erişimi bile olsa, şifre veya bruteforcing olmadan ayıklanamazlar.

burada anahtar deposunu kullanma konusunda iyi bir mesaj var: http://nelenkov.blogspot.fr/2012/05/storing-application-secrets-in-androids.html

Answer 2

Sen robot üzerinde SharedPreference kullanarak RSA ortak/özel anahtar devam edebilir. Telefon kötüye kullanıldığında, anahtarlarınızı güvende tutabilmek için aşağıdaki adımları gerçekleştirebilirsiniz:

1: Herhangi bir veriyi ne zaman arşivlemek istediğinizde bir anahtar çifti oluşturun.
2: Kullanıcıya bir parola sor.
3: Özel anahtarınızı şifrelemek için simetrik anahtar oluşturmak üzere bu parolayı kullanın.
4: Verilerinizi ortak anahtarı kullanarak şifreleyebilir ve özel anahtarı kullanarak şifresini çözebilirsiniz.
5: 2. adımda sorulan parola için bir oturumu saklayabilirsiniz. Bu oturum sırasında, özel anahtarı şifrelemek/şifresini çözmek için simetrik anahtarı (paroladan oluşturulur) kullanabilirsiniz.

Aşağıdaki kod parçası

Aşağıdaki kod parçası & özel anahtarı getir nasıl depolanacağı gösterir & genel anahtar

public void setPublicKey(PublicKey publicKey, String key, Context context) { 

    byte[] pubKey = publicKey.getEncoded(); 
    String pubKeyString = Base64.encodeBytes(pubKey); 
    this.setString(key, pubKeyString, context); 
} 

public PublicKey getPublicKey(String key,Context context) { 

    PublicKey pKey = null; 
    try { 

     String pubString = this.getString(key, context); 

     if(pubString!=null) { 
      byte[] binCpk = Base64.decode(pubString); 
      KeyFactory keyFactory = KeyFactory.getInstance("RSA"); 
      X509EncodedKeySpec publicKeySpec = new X509EncodedKeySpec(binCpk); 
      pKey = keyFactory.generatePublic(publicKeySpec); 
     } 
     }catch(Exception e){ 
    } 
    return pKey; 
} 

getirme nasıl depolanacağı gösterir.

public void setPrivateKey(PrivateKey privateKey, String key, Context context) { 

    byte[] priKey = privateKey.getEncoded(); 
    String priKeyString = Base64.encodeBytes(priKey); 
    this.setString(key, priKeyString, context); 
} 

public PrivateKey getPrivateKey(String key, Context context) { 

    PrivateKey privateKey = null; 

    try { 
     String privateString = this.getString(key, context); 
     if(privateString!=null){ 
      byte[] binCpk = Base64.decode(privateString); 
      KeyFactory keyFactory = KeyFactory.getInstance("RSA"); 
      PKCS8EncodedKeySpec privateKeySpec = new PKCS8EncodedKeySpec(binCpk); 
      privateKey = keyFactory.generatePrivate(privateKeySpec); 
     } 
    } 
    catch(Exception e){ 
    } 
    return privateKey; 
} 

Answer 3

Dosya sistemindeki anahtar deposu (P12, JKS, AKS) hiçbiri RSA özel anahtarlarını tutmak için yeterli güvenli olamaz. Sadece SmartCard veya güvenli jetonlar yüksek düzeyde güvenlik sağlayabilir. Bu kitabı oku: "Android Security Internals". Bu kitapta Android Güvenlik ve JCA sağlayıcılarının iyi bir açıklamasını bulacaksınız.