Lưu thông tin mật trong ứng dụng Android như thế nào?

16:38 | 23/03/2017 | GP ATTM

Một trong những nguyên tắc lập trình an toàn là không lưu thông tin mật trong ứng dụng hay các tệp cấu hình. Vì thế các thông tin mật của ứng dụng Android không nên lưu ở SharedPreferences hay cơ sở dữ liệu SQLite.

Cả hai cách lưu trữ này đều có cơ chế phân quyền dựa trên hệ thống quyền của Linux, tương tự như hệ thống tệp. SharedPreferences trong Android gần tương tự như tệp INI trong Windows, vì dù đặt thuộc tính cấm đọc (ứng dụng khác) thì cũng chỉ là "phòng người ngay". Tin tặc có thể dùng lệnh run-as của adb (nếu ứng dụng có thể debug) hay sao lưu dữ liệu ra thẻ nhớ (nếu trong tệp manifest có dòng android:allowBackup="true") để đọc dữ liệu trong SharedPreferences. Ngay cả nếu lập trình viên đã dập các cờ debug và backup thì vẫn còn một lỗ hổng khác: với điện thoại đã bị root, phân quyền của Android là vô nghĩa.

Lưu thông tin mật trong ứng dụng Android như thế nào?

Google khuyến cáo nên dùng KeyStore để lưu trữ các giá trị bí mật của ứng dụng. KeyChainAPI được giới thiệu từ Android 4.0 đã cho phép các ứng dụng nhập khóa vào kho lưu trữ thông tin của hệ thống, nhưng những khóa đó thuộc sở hữu của hệ thống và các ứng dụng chỉ có thể yêu cầu truy cập. Android 4.3 bổ sung hỗ trợ cho khóa bí mật của ứng dụng, cho phép bất kỳ ứng dụng nào sinh và lưu khóa bí mật sao cho chỉ mình nó có thể truy cập. Hướng dẫn lập trình với KeyStore có thể xem .

KeyStore dùng chung nguyên lý với DPAPI của Windows, bảo vệ dữ liệu nhờ mật khẩu đăng nhập của người dùng. Nhưng chính điều đó khiến KeyStore “bó tay” khi người dùng xóa bỏ mật khẩu đăng nhập (chuyển sang chế độ "vuốt" để mở màn hình cho nhanh). Khi đó, hệ thống sẽ xóa các giá trị bí mật của người dùng.

Để ngăn chặn việc người dùng đổi chế độ mở khóa màn hình thành None hay Swipe, ứng dụng cần thêm quyền Device Manager và lập trình thêm khá phức tạp. Hơn thế nữa, điều đó có thể khiến khách hàng nghi ngờ/khó chịu.

Vậy nếu không dùng KeyStore thì phải lưu các giá trị bí mật vào đâu? Để đảm bảo an toàn, lập trình viên có thể yêu cầu người dùng thiết lập password/passcode truy cập ứng dụng rồi dùng một trong hai cách sau:

1. Dùng SQLCipher để mã hóa database chứa các giá trị bí mật (bằng khóa sinh từ password/passcode truy cập ứng dụng của người dùng);

2. Mã hóa giá trị bí mật (cũng bằng khóa sinh từ password/passcode truy cập ứng dụng của người dùng – sau khi biến đổi với PBKDF2).

Với cách thứ nhất, ứng dụng sẽ báo lỗi nếu người dùng nhập sai password/passcode. Với cách thứ hai, ứng dụng không báo lỗi, nhưng nếu người dùng nhập sai password/passcode, thì giá trị bí mật sai sẽ khiến ứng dụng không thể hoạt động bình thường (và do đó người dùng không bị thiệt hại).

‹ › ×

Tin cùng chuyên mục

Vòng lặp OODA: Phương pháp tiếp cận toàn diện trong phản hồi sự cố an toàn thông tin

06:00 | 28/09/2017

Ngày nay, các cuộc tấn công mạng ngày càng phức tạp, tinh vi và khó đoán, đặc biệt là sự gia tăng của tấn công có chủ đích (APT) nhằm vào dữ liệu của các tổ chức/doanh nghiệp (TC/DN). Khi cuộc tấn công xảy ra, việc xử lý phản hồi sự cố an toàn thông tin (ATTT) là tuyến phòng thủ cuối cùng của mỗi hệ thống thông tin. Để giảm thiểu tối đa thiệt hại do các cuộc tấn công gây ra, các TC/DN cần nghiên cứu và triển khai các chương trình xử lý phản hồi sự cố ATTT một cách phù hợp với quy mô hạ tầng công nghệ thông tin của mình. Bài viết này sẽ giới thiệu mô hình vòng lặp OODA (Observe, Orient, Decide, Act) và ứng dụng trong việc xử lý phản hồi sự cố ATTT.

EEG Signals For Authentication In Security Systems

23:00 | 13/01/2017

CSKH-02.2016 - (Tóm tắt) - Trong bài báo này, chúng tôi giới thiệu những phương pháp mới nhất và một số hướng nghiên cứu cho một hệ thống xác thực sử dụng sóng não.

Top 8 công cụ hack tại Hội nghị BlackHat 2016

01:27 | 28/12/2016

Bài báo này giới thiệu Top 8 công cụ được trình bày tại hội nghị BlackHat 2016 đã diễn ra tại Las Vegas, thu hút đông đảo sự quan tâm của các nhà quản lý, chuyên gia nghiên cứu trong lĩnh vực an toàn thông tin.

Phòng chống các nguy cơ mất an toàn thông tin với giải pháp WatchGuard

00:57 | 03/08/2016

Dòng sản phẩm WatchGuard Firebox M series của WatchGuard có thể đáp ứng nhu cầu của các doanh nghiệp vừa và nhỏ cho đến các tập đoàn lớn. Với các doanh nghiệp có quy mô ở mức trung bình có thể dùng sản phẩm WatchGuard Firebox M400 và M500 với chi phí hợp lý nhưng vẫn hoàn toàn bảo vệ được hệ thống.