1

Gostaria de saber como criptografar senhas no Android e quais são as melhores práticas.

Estou usando Eclipse, banco de dados SQlite para armazenar a senha localmente e MySql com PHP para armazenar no servidor via HttpClient. Minha aplicação vai ser de uso online e offline. Por isso qualquer cadastro ou alteração de dados do usuário, é feito no servidor e só depois localmente, ou seja, só online que o usuário pode se cadastrar ou alterar seus dados.

Uma alternativa que acho boa seria criptografar a senha, gerar um hash para evitar que seja alterada durante o envia para o servidor e gerar uma espécie de hash de assinatura do dispositivo para que o servidor saiba que a senha veio de um dispositivo com a aplicação instalada e concatenar tudo ficaria assim:

"Senha Criptografada" + "Hash de integridade" + "Hash de autenticidade"

E o servidor iria verificar tudo isso e armazenar no banco de dados tudo isso junto também localmente e externamente.

9
  • Duplicata(?), relacionada: Como fazer hash de senhas de forma segura? Commented 8/01/2016 às 17:45
  • 1
    É realmente necessário armazenar a senha no dispositivo do usuário? Se seu aplicativo vai conseguir descriptografar a senha, um usuário malicioso também vai. O ideal neste caso é usar um web service. Commented 8/01/2016 às 17:45
  • @André Ribeiro Eu sei disso, mas o meu aplicativo vai ser de uso online e offline, neste caso eu tenho uma sugestão que pode ser útil, mas não sei como poderia implementa-la, vou editar a pergunta com a minha sugestão. Commented 8/01/2016 às 18:21
  • 1
    @renan Duplicata não aquele link se refere ao uso de hash e a minha se trata de criptografia que é um hash bem melhorado. Commented 8/01/2016 às 18:38
  • Não entendi o que tem a ver o aplicativo ser online e offline com salvar senhas localmente. Commented 8/01/2016 às 21:31

2 Respostas 2

2

Uma alternativa que acho boa seria criptografar a senha, gerar um hash para evitar que seja alterada durante o envia para o servidor e gerar uma espécie de hash de assinatura do dispositivo para que o servidor saiba que a senha veio de um dispositivo com a aplicação instalada e concatenar tudo ficaria assim:

Nunca invente sua própria criptografia! As chances de algo saírem errado são enormes. Em vez disso, use um protocolo bem estabelecido para o que quer:

  1. Conecte-se ao seu servidor usando SSL/TLS. Assim os dados que você enviar a ele já serão confidenciais e íntegros, não é necessário nem criptografar a senha nem gerar um hash (aliás, um hash não evita que ela seja alterada durante o envio; um MAC talvez, mas isso é outra história). E se você combinar isso com uma autenticação do cliente usando certificados, você já garante a autenticidade também, bastando enviar só a senha simples mesmo e pronto!

  2. Se precisar armazenar a senha do usuário no dispositivo (não está claro na pergunta se o usuário vai ter que digitá-la toda vez que for se conectar ao seu servidor, ou se isso ficará salvo no aparelho), procure algum recurso do próprio sistema para auxiliá-lo. Não tenho experiência com Android, mas uma busca rápida me trouxe o AccountManager - que me parece ser um meio centralizado de gerenciar as contas que o usuário tem em diversos serviços. Sugiro dar uma estudada nele.

Detalhando

Se o que eu expliquei acima não ficou claro, deixe-me quebrar o problema em partes menores pra ficar mais fácil de entender a solução proposta (e talvez apresentar algumas alternativas):

Salvando senhas no dispositivo

A menos que você queira que o usuário entre com sua senha toda vez que for se conectar com seu servidor, é preciso que algum método de autenticação seja armazenado no dispositivo. Nesse caso, não dá pra fazer um hash da senha porque você precisa da senha no seu formato original para enviar ao servidor (do contrário o hash vira a senha, e qualquer atacante que obtenha uma cópia do hash já possui as credenciais necessárias para se autenticar com o servidor). Criptografar é uma ideia, mas onde guardar a chave? Essa é uma situação complicada, daí minha sugestão de usar o que já tem pronto no Android e tirar isso da cabeça...

Comunicando-se seguramente com o servidor

Se você não usar SSL/TLS (ex.: HTTPS), não dá pra garantir que a comunicação com o servidor não será interceptada e até modificada (em particular em redes abertas). Tentar "se virar" sem TLS vai te deixar com uma solução insegura e/ou vai te obrigar a reinventar muitas rodas. Por isso eu sugiro fortemente usar esse protocolo.

Ao criar um canal seguro via TLS, você pode enviar as credenciais do usuário em formato plano, sem a necessidade de encriptar. Pois o protocolo garante a confidencialidade (i.e. ninguém pode ler a comunicação) e a integridade (ninguém pode alterar a comunicação) de ambos, além da autenticidade do servidor (o cliente sabe que está se comunicando com o servidor certo).

Autenticando o dispositivo

Na pergunta você mostra preocupação com o dispositivo que originou a requisição ("...para que o servidor saiba que a senha veio de um dispositivo com a aplicação instalada..."). Ou seja, além de autenticar o usuário com o servidor, você também quer autenticar o dispositivo com o servidor.

A princípio, isso também pode ser feito via SSL/TLS, com o uso de certificados do cliente. Grosso modo, ao instalar a aplicação ela geraria um certificado para aquele dispositivo, registraria esse certificado no servidor (ou simplesmente teria aquele certificado assinado por uma CA que o servidor confia), e então ao se comunicar via TLS utilizaria esse certificado com o protocolo. Assim ambos cliente e servidor estariam autenticados entre si, e bastaria então você autenticar o usuário (enviando a senha em seu formato normal).

Se tudo isso for muito complicado, uma alternativa mais simples seria gerar uma senha aleatória pra ser a "senha do dispositivo", e cadastrá-la no servidor junto à senha do usuário. Essa senha seria então enviada durante a autenticação, também sob o canal seguro estabelecido anteriormente.

Salvando senhas no servidor

No servidor, naturalmente, você não vai guardar a(s) senha(s) em formato plano, mas sim um hash da(s) mesma(s). Veja a pergunta "Como fazer hash de senhas de forma segura?" para mais detalhes.

11
  • Sua ideia para autenticação da aplicação com servidor e vice versa é ótima, no entanto em relação a enviar a senha em texto plano e ter que fazer o hash no servidor eu terei que fazer o mesmo hash no dispositivo e armazenar no banco de dados local se isso for possível então seria ótimo já que mesmo se um hacker tiver acesso ao banco de dados local ele teria que enviar a senha em texto plano e não o hash pro servidor mesmo se conseguisse se passar pelo dispositivo usando os mesmos protocolos. Commented 16/01/2016 às 21:21
  • Mas como sabemos que não existe nada 100% seguro acrescentar a criptografia na senha que esta sendo enviada não seria ruim desde que não só a senha seja criptografada, mas sim todo o login, desta forma se por algum motivo o hacker obter acesso ao que está sendo enviado ele não saberá o que é usuário ou senha da string criptografada e além disso poderia add nessa string uma espécie de contador de ultimo acesso dessa forma se o hacker usar essa string criptografada novamente para se autenticar não vai conseguir, pois o contador de acesso não será mais válido. Commented 16/01/2016 às 21:22
  • O problema nesse caso seria descriptografar a string no servidor usando uma chave que não está sendo enviada, pois o hacker poderia ter acesso a chave. Nesse caso eu poderia fazer uma chave única e fixa nessa criptografia, claro que essa forma ainda deixa uma vulnerabilidade de se caso o hacker descobrir uma única chave, ele terá acesso a senha de todos os usuários bastando só capturar a string que está sendo enviada quando o usuário estiver logando, porém isso traria uma maior dificuldade do que enviar os dados em texto plano. Commented 16/01/2016 às 21:23
  • Em relação ao hash eu vou pesquisar mais para implementar nos dois ambientes cliente e servidor. Obrigado pela ajuda. Commented 16/01/2016 às 21:23
  • Em relação a autenticação com servidor o usuário não vai precisar digitar nada o próprio dispositivo vai gerar sua chave única de autenticação com base no usuário e na senha. Commented 16/01/2016 às 21:30
0

Após umas pesquisas eu achei um exemplo pronto utilizando AES nesse site: http://www.iai.art.br/radar/android-development-criptografia-baseada-em-senha/

Funcionou bem ele criptografa e descriptografa também, pra mim eu só queria um que apenas criptografasse sem possibilidade de descriptografar, mas esse serve por enquanto. Minha dúvida nesse código é em relação a esse método de criptografia que eu não sei se ele vai gerar algum código criptografado com este caractér "#", pois estou usando ele e este "^" para separar a string e montar os campos para armazenar no banco. O método é esse:

public static String encrypt(String plainText, String password)    throws
  NoSuchAlgorithmException,
  InvalidKeySpecException,
  NoSuchPaddingException,
  InvalidParameterSpecException,
  IllegalBlockSizeException,
  BadPaddingException,
  UnsupportedEncodingException,
  InvalidKeyException,
  InvalidAlgorithmParameterException
{
  byte[] saltBytes = salt.getBytes("UTF-8");
  byte[] ivBytes = initializationVector.getBytes("UTF-8");
  SecretKeyFactory factory =   SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");

  PBEKeySpec spec = new PBEKeySpec(
       password.toCharArray(),
       saltBytes,
       pswdIterations,
       keySize
  );
  SecretKey secretKey = factory.generateSecret(spec);
  SecretKeySpec secret = new SecretKeySpec(secretKey.getEncoded(), "AES");
  Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
  cipher.init(Cipher.ENCRYPT_MODE, secret, new       IvParameterSpec(ivBytes));
  byte[] encryptedTextBytes =  cipher.doFinal(plainText.getBytes("UTF-8"));
  return Base64.encodeToString(encryptedTextBytes, 0);
}

E se alguém tiver uma sugestão melhor, seria de grande ajuda.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .