¿Cómo almacenar de forma segura token de acceso y secreto en Android?

Voy a usar oAuth para buscar correos y contactos de google. No quiero pedirle al usuario cada vez que inicie sesión para obtener un token de acceso y secreto. Por lo que entendí, necesito almacenarlos con mi aplicación en una base de datos o SharedPreferences. Pero estoy un poco preocupado por los aspectos de seguridad con eso. Leí que puedes cifrar y descifrar los tokens, pero es fácil para un atacante descompilar tu apk y clases y obtener la clave de cifrado.
¿Cuál es el mejor método para almacenar de forma segura estos tokens en Android?

Almacénelos como preferencias compartidas . Esos son privados por defecto, y otras aplicaciones no pueden acceder a ellos. En dispositivos rooteados, si el usuario permite explícitamente el acceso a alguna aplicación que está tratando de leerlos, la aplicación puede usarlos, pero no puede protegerse contra eso. En cuanto al cifrado, debe solicitar al usuario que ingrese la frase de contraseña de descifrado cada vez (lo que anula el propósito de almacenar en caché las credenciales) o guardar la clave en un archivo, y obtendrá el mismo problema.

Hay algunos beneficios de almacenar tokens en lugar de la contraseña de nombre de usuario real:

• Las aplicaciones de terceros no necesitan conocer la contraseña y el usuario puede estar seguro de que solo la envía al sitio original (Facebook, Twitter, Gmail, etc.)
• Incluso si alguien roba un token, no puede ver la contraseña (que el usuario también podría estar usando en otros sitios)
• Los tokens generalmente tienen una vida útil y caducan después de cierto tiempo
• Las fichas se pueden revocar si sospecha que se han visto comprometidas

Puede almacenarlos en AccountManager . Se considera la mejor práctica según estos tipos.

Aquí está la definición oficial:

Esta clase proporciona acceso a un registro centralizado de las cuentas en línea del usuario. El usuario ingresa sus credenciales (nombre de usuario y contraseña) una vez por cuenta, otorgando a las aplicaciones acceso a recursos en línea con la aprobación de "un clic".

Para obtener una guía detallada sobre cómo usar AccountManager:

• Tutorial de Udi Cohen
• Blog de pilanitas
• Presentación de Google IO

Sin embargo, al final AccountManager solo almacena su token como texto sin formato. Por lo tanto, sugeriría cifrar su secreto antes de almacenarlos en AccountManager. Puede utilizar varias bibliotecas de cifrado como AESCrypt o AESCrypto

Otra opción es usar la biblioteca Oculta . Es lo suficientemente seguro para Facebook y mucho más fácil de usar que AccountManager. Aquí hay un fragmento de código para guardar un archivo secreto usando Ocultar.

byte[] cipherText = crypto.encrypt(plainText);
byte[] plainText = crypto.decrypt(cipherText);

SharedPreferences no es una ubicación segura en sí misma. En un dispositivo rooteado, podemos leer y modificar fácilmente los xml de preferencias compartidas de todas las aplicaciones. Por lo tanto, los tokens deberían caducar con relativa frecuencia. Pero incluso si un token caduca cada hora, todavía se pueden robar tokens más nuevos de SharedPreferences. Android KeyStore se debe utilizar para el almacenamiento a largo plazo y la recuperación de claves criptográficas que se utilizarán para cifrar nuestros tokens para almacenarlos en, por ejemplo, SharedPreferences o una base de datos. Las claves no se almacenan dentro del proceso de una aplicación, por lo que es más difícil comprometerlas.

Entonces, más relevante que un lugar es cómo pueden ser seguros, por ejemplo, utilizando JWT de vida corta firmados criptográficamente, cifrándolos usando Android KeyStore y enviándolos con un protocolo seguro

1. Desde el panel Proyecto de su Android Studio, seleccione "Archivos de proyecto" y cree un nuevo archivo llamado "keystore.properties" en el directorio raíz de su proyecto.

2. Abra el archivo "keystore.properties" y guarde su Token de acceso y secreto en el archivo.

3. Ahora carga la lea el token de acceso y secreto en su aplicación de módulo de build.gradle archivo. Luego debe definir la variable BuildConfig para su Token de acceso y Secreto para que pueda acceder directamente a ellos desde su código. Su build.gradle puede verse así:

   ... ... ... 
   
   android {
       compileSdkVersion 26
   
       // Load values from keystore.properties file
       def keystorePropertiesFile = rootProject.file("keystore.properties")
       def keystoreProperties = new Properties()
       keystoreProperties.load(new FileInputStream(keystorePropertiesFile))
   
       defaultConfig {
           applicationId "com.yourdomain.appname"
           minSdkVersion 16
           targetSdkVersion 26
           versionCode 1
           versionName "1.0"
           testInstrumentationRunner "android.support.test.runner.AndroidJUnitRunner"
   
           // Create BuildConfig variables
           buildConfigField "String", "ACCESS_TOKEN", keystoreProperties["ACCESS_TOKEN"]
           buildConfigField "String", "SECRET", keystoreProperties["SECRET"]
       }
   }

4. Puede usar su Token de acceso y Secreto en su código de esta manera:

   String accessToken = BuildConfig.ACCESS_TOKEN;
   String secret = BuildConfig.SECRET;

De esta manera, no necesita almacenar el token de acceso y el secreto en texto plano dentro de su proyecto. Por lo tanto, incluso si alguien descompila su APK, nunca obtendrá su Token de acceso y Secreto mientras los carga desde un archivo externo.

Bueno, puede asegurar su token de acceso siguiendo dos opciones.

1. Utilice guardar su token de acceso en el almacén de claves de Android que no sería inverso.
2. Use la función NDK con algunos cálculos que guarden su token y NDK con código c ++ que es muy difícil de revertir