在 Android 中隐藏密钥库密码的最佳方法是什么？

Question

我是 Android 开发和实现 SSLSockets 的新手。经过一番挖掘后，我能够设置一个可以工作的简单服务器/客户端。我觉得这个实现可能需要一些工作，并且很难理解如何将密码加载到密钥库中而不需要纯文本形式。这是客户端的一些代码。正如你所看到的，我将密码硬编码到本地变量中。有没有更好的方法来加载密钥库密码，这样我就不会在代码中以纯文本形式保存它？

    char [] KSPASS = "password".toCharArray();
    char [] KEYPASS = "password".toCharArray();
    try {
        final KeyStore keyStore = KeyStore.getInstance("BKS");
        keyStore.load(context.getResources().openRawResource(R.raw.serverkeys), KSPASS);

        final KeyManagerFactory keyManager = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        keyManager.init(keyStore, KEYPASS);

        final TrustManagerFactory trustFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        trustFactory.init(keyStore);

        sslContext = SSLContext.getInstance("TLS");
        sslContext.init(keyManager.getKeyManagers(), trustFactory.getTrustManagers(), null);
        Arrays.fill(KSPASS, ' ');
        Arrays.fill(KEYPASS, ' ');

        KSPASS = null;
        KEYPASS = null;

更新：

事实证明客户端根本不需要知道密钥库密码。我修改了代码以将 null 作为密码传递。到目前为止，初步测试已经可以与服务器进行通信。在服务器端，我仍然加载密钥库密码。

        final KeyStore keyStore = KeyStore.getInstance("BKS");
        keyStore.load(context.getResources().openRawResource(R.raw.serverkeys), null);

        final KeyManagerFactory keyManager = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        keyManager.init(keyStore, null);

        final TrustManagerFactory trustFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        trustFactory.init(keyStore);

        sslContext = SSLContext.getInstance("TLS");
        sslContext.init(keyManager.getKeyManagers(), trustFactory.getTrustManagers(), null);

Answer 1

好吧，这不是一个容易的问题。

例如，您可以在应用程序启动时向用户请求密码，以使密码在代码中没有进行硬编码。我认为这是最安全的方法。

如果这是不可能的，那么如果有人可以访问罐子并“查看”代码并随后使用密码，就会出现您的问题。您可以将保护这些罐子的用户委派给用户。

如果不可能，则可以对密码进行加密并将其存储在某个地方。然后，在您的代码中，您硬代码键以解密密码。因此，看着罐子的人看不到您的真实密码。只是解密密钥。当然，如果一个真正的努力，他可以得到钥匙，并尝试找到密码的位置并解密密码并获取钥匙，但需要更多的努力才能做到。

最后，这取决于您拥有哪些安全要求

Answer 2

如果您确实想保护用户凭据，那么每当您想要访问凭据时，您必须要求他们验证其身份。然而，如果您每次登录时都要求他们提供密码，大多数用户会感到恼火，因此作为开发人员，您必须决定您对安全性的关心程度，还是为用户提供简单易用的界面。

您可以考虑的一种选择是存储密码，但使用用户提供的 PIN 来加密密码。然后，每当用户想要访问其密码时，他们只需提供 PIN，您可以使用该 PIN 来解密密码。