एंड्रॉइड में एपीआई कुंजी भंडारण, पर्याप्त obfustication है?

Question

मैं ड्रॉपबॉक्स एपीआई का उपयोग कर रहा हूं। नमूना अनुप्रयोग में, यह इन पंक्तियों में शामिल हैं:

// Replace this with your consumer key and secret assigned by Dropbox. 
// Note that this is a really insecure way to do this, and you shouldn't 
// ship code which contains your key & secret in such an obvious way. 
// Obfuscation is good. 
final static private String CONSUMER_KEY = "PUT_YOUR_CONSUMER_KEY_HERE"; 
final static private String CONSUMER_SECRET = "PUT_YOUR_CONSUMER_SECRET_HERE"; 

मैं मंत्र से अच्छी तरह परिचित हूँ 'गोपनीयता सुरक्षा नहीं है', कहानियो वास्तव में केवल थोड़ा कुंजियों को निकालने के लिए आवश्यक प्रयास की मात्रा बढ़ जाती। मैं उनके बयान 'असहमति अच्छा है' से असहमत हूं। तब चाबियों की रक्षा के लिए मुझे क्या करना चाहिए? क्या obfustication अच्छा पर्याप्त है, या मुझे कुछ और विस्तृत विचार करना चाहिए?

Answer 1

आप इसकी सहायता नहीं कर सकते। यदि उपयोगकर्ता (हमलावर) में सुरक्षित डेटा और कोड जो असुरक्षित करता है, तो उपयोगकर्ता अंततः डेटा तक पहुंच प्राप्त कर सकता है। यह इतना सरल है। एक डीबगर और सही समय पर ब्रेकपॉइंट की जरूरत होती है। वह, और बहुत सारे खाली समय और दृढ़ संकल्प।

चाहे आपके उद्देश्य आपके व्यापार विनिर्देशों के लिए पर्याप्त हैं या नहीं, गोपनीयता पर्याप्त है या नहीं। लेकिन आम तौर पर मोबाइल दुनिया में, यदि ग्राहक अपने डेटा चोरी होने के बारे में चिंतित है, तो वे उच्च स्तरीय चोरी और हानि नियंत्रण लागू करते हैं। रिमोट वाइप, अनिवार्य स्क्रीन लॉक इत्यादि जैसी चीजें मुझे नहीं लगता कि यह उन सभी चीजों को डुप्लिकेट करने के लिए एप्लिकेशन प्रोग्रामर पर निर्भर है।

Answer 2

सुरक्षा कभी भी सही नहीं हो सकती है, इसलिए यह तय करने के लिए आप कितना काम करना चाहते हैं। आप एक साधारण परिवर्तन के लिए उपभोक्ता रहस्य को कई स्ट्रिंग्स में तोड़ सकते हैं जो कम से कम अतिरिक्त सुरक्षा प्रदान करता है या आप किसी अन्य तरीके से रहस्य का प्रतिनिधित्व करने के लिए एल्गोरिदम बना सकते हैं (स्ट्रिंग में प्रत्येक एक्स रिक्त स्थान का उपयोग नहीं करने वाले वर्णों को डालने से कुछ भी प्रत्येक चरित्र को संशोधित करने के लिए, शायद संख्यात्मक प्रतिनिधित्व के आधार पर)।

आपको कार्य बनाम लाभ पर विचार करना होगा। यदि यह एक ऐप है जिसे आप और कुछ दोस्त उपयोग करने जा रहे हैं, तो शायद इससे कोई फर्क नहीं पड़ता। यदि यह 10 मिलियन लोगों द्वारा उपयोग किया जाने वाला ऐप होगा, तो सुरक्षा स्पष्ट रूप से चिंता का विषय है।