estou desenvolvendo uma aplicação para dispositivos móveis Android/iOS, nesta aplicação a comunicação com o servidor é feita de forma criptografada. A aplicação do usuário, quando iniciada pela primeira vez, gera uma chave pública/privada. A chave pública é enviada ao servidor onde ficará armazenada e a chave privada fica armazenada no aparelho do cliente. Neste aspecto, acredito que funciona de forma semelhante ao aplicativo de mensagens Whatsapp. Porém, não sei como proteger esta senha privada armazenada no dispositivo. Ela não pode ser capturada por terceiros, para não comprometer a segurança do usuário. Como lidar com isso?
-
1Se as chaves não estão armazenadas num hardware especifico para isso (HSM, TPM...) elas podem, em algum momento, serem extraídas. O Whatsapp é um exemplo, já tem sistemas para extrair as chaves, mesmo sem root. O Android, em especifico, possui o "KeyStorage", que serve para isso (developer.android.com/training/articles/keystore.html?hl=pt-br), o iOS deve ter algo similar.– InkelizCommented 5/11/2017 às 13:31
-
Muito interessante, eu sempre tive a curiosidade de saber como estas aplicações estavam protegendo as chaves. Mas acredito que haja uma forma de dificultar este processo, para evitar ao menos que seja acessível para qualquer um, e assim terei que lidar somente com estas ferramentas e um menor número de usuários com skill suficiente para extrair as chaves.– DanOverCommented 5/11/2017 às 13:34
Adicione um comentário
|
1 Resposta
Eu não sei em relação ao Android, mas o iOS possui um conceito de área reservada para cada aplicação, ou seja nenhuma aplicação consegue acesso a quais quer diretórios de outra aplicação, dessa forma basta que você armazene a chave privada na área reservada com NSKeyedArchiver
.
Eu não conheço a plataforma android, mas acredito que seja da mesma forma.