Almacenamiento de credenciales (et al) en Android - Y consulta de almacenamiento de credenciales de aplicación general [cerrado]

-1

Léalo antes de asumir que esto debería incluirse en otro foro (como un foro de Android): esta es una pregunta de seguridad.

Aquí está el escenario:

Desarrollar una aplicación para Android basada en el cuidado de la salud que tenga varios elementos de "credencial" que se deben almacenar y utilizar durante el contexto de la aplicación. Estas no son el tipo de credenciales en las que existe interacción con el usuario, de hecho, todas las credenciales se usan en silencio en segundo plano (el usuario no lo sabe), por lo que no puedo utilizar el método de "no almacenar las credenciales" cada vez.

Por supuesto, Android tiene la clase KeyChain con credenciales de tienda rudimentarias, pero está más orientado a los certificados y también implica cierta interacción para obtener credenciales en (y posiblemente fuera de) KeyChain, además requiere que el dispositivo se convierta en una "contraseña" ( tengo una contraseña de bloqueo ... por lo que puedo decir).

Lo que estoy buscando son ideas, consejos, sugerencias, sobre cómo, en general, el desarrollo de aplicaciones, las credenciales no interactivas se pueden almacenar ... y más específicamente si tiene un giro único en el aspecto móvil / Android que ser amable.

Tengo mis ideas, pero estoy buscando expandir mi mente aquí, para encontrar la mejor solución que pueda. Estaré escribiendo un informe sobre esto, y si está interesado, estaría encantado de publicar un enlace para que cualquiera pueda acceder una vez que haya completado mis pensamientos.

Gracias por toda la entrada antes de tiempo.

    
pregunta Tek Tengu 27.08.2013 - 15:11
fuente

1 respuesta

1

En mi opinión, la única posibilidad disponible actualmente es solicitar, al iniciar la aplicación, al usuario crear una contraseña. Esta contraseña se usará para derivar una clave y luego se usará para cifrar las otras credenciales con AES en el dispositivo (que podría recuperarse desde una ubicación remota). Luego, la aplicación puede recuperar las credenciales y descifrarlas cuando necesite acceder a una función que requiere estas credenciales.

Tenga en cuenta que deberá pensar en bloquear las credenciales después de un cierto período de inactividad.

    
respondido por el Lucas Kauffman 27.08.2013 - 16:19
fuente

Lea otras preguntas en las etiquetas