Queria saber um lugar adequado para guardar a conexão com a api (link, usuário e senha), inicialmente estava pensando em guardar em um xml, mas acredito que qualquer usuário terá acesso a esse arquivo, podendo abrir e ler. Existe uma forma mais segura?
1 Resposta
"A melhor maneira de proteger segredos é não colocá-los no código."
Não sendo possível, estas são algumas das opções onde os guardar:
- Em string resources.
- Escondidos no código fonte.
- Escondidos em BuildConfigs.
- Usando Proguard.
- Strings encriptados/mascarados.
- Escondidos em classes criadas usando o NDK.
Qualquer que seja a opção escolhida, ela não garante, a 100%, a protecção dos valores guardados, apenas dificulta a sua obtenção.
Um utilizador que consiga "quebrar" uma, "quebra" as outras. É uma questão de ter mais ou menos trabalho.
Assim sendo, escolha a mais fácil de implementar, use strings declarados no arquivo res/values/strings.xml.
<resources>
<string name="user">myEmail@gmail.com</string>
<string name="password">dfr125NF56</string>
</resources>
Referências:
Nota: Para ter acesso ao código da aplicação, caso a aplicação seja distribuída na Google Play, é necessário ter um dispositivo "rooteado". Isto retira à maioria dos utilizadores a possibilidade de acederem aos "segredos" guardados na aplicação
apktool
revelará o seu código, incluindo as chaves. A maior parte dos aplicativos usam HMAC para autenticar e é baseado no User-Agent, nele é informado também a versão do aplicativo usado, isso influencia o retorno também. O Snap usa AES (não me lembro qual), com uns padding um tanto quanto estranhos. Além disso um VPN/Network Monitor é fácil descobrir o que está enviando.