草庐IT

android - phonegap 应用程序中的本地存储保护

coder 2023-09-25 原文

我应该开发一个 phonegap 应用程序。我需要加密我对服务器端的请求，然后解密。 HTTPS 不是解决方案，因为我需要签署请求以确保数据不是伪造的。我可以使用任何异步加密(该应用程序将生成 private/public key 并将公钥发送到服务器)。但是这样我需要将我的私钥保存在设备上。

问题是:如何将私钥安全地保存在设备上？

我可以使用 sqlclipher (加密我的本地 SQLite DB)和 integrate它进入我的 phonegap 应用程序。太好了，但在这里我必须保留数据库的 key :)

var db = window.sqlitePlugin.openDatabase({name: "DB", key: "secret1"});

任何有权访问手机的人都可以获得此 key 。所以在这里我有同样的问题:)

请给我任何建议。

谢谢!

附注适用于 iOS 和 Android 的应用

最佳答案

您必须区分加密和身份验证。

首先，我建议使用 https 来加密您的消息并安全地传输它们。

其次，我建议使用 HMAC 来验证您的消息。它基本上是这样工作的:

  • 在编译时为您的应用和服务器生成一个 secret 字符串。您将此 secret 直接存储在应用程序的源代码中，因此它永远不会传输到服务器或从服务器传输。这可能是您的私钥/公钥方法的主要区别:您将 secret 直接编译到您的应用程序中，而不是稍后将其写入某些用户可访问的存储中。 “直接进入您的应用程序”意味着在 Phonegap 的情况下不在您的 HTML/JS 文件中，而是在 native 源代码中!如有必要，您必须将访问器桥接到 javascript。

  • 当用户首次启动您的应用时，在您的应用中设置一个用户 ID(=key；长，随机!)。如果你想验证你的用户，你可能有某种登录/密码机制。 (存储用户 ID 以及从用户 ID 生成的 HMAC 和设备上的共享 key 。每次读取用户 ID 时，都要对照哈希检查它，以确保用户 ID 没有被欺骗。)

在您的应用中

  1. 在每条消息中包含一个用户 ID。
  2. 在每条消息中包含时间戳。
  3. 根据消息、服务器地址、请求 URI 和共享 key 组合在一起的字符串计算 HMAC 哈希。
  4. 在您的请求 header 中包含哈希值。

在服务器端

  1. 检查时间戳是否有效，e。 G。不超过 2 分钟左右。这可以防止重播攻击(至少在 2 分钟后)。
  2. 如果用户 ID 有效，请检查您的数据库。
  3. 根据消息、服务器地址、请求 URI 和共享 secret 组成的字符串计算 HMAC 散列。包含请求 URI 可以防止人们向您服务器上的另一个 URI 发送相同的有效请求； e. G。在 REST 环境中，如果您向 /comment/1 或 /user/1 发送相同的 DELETE 请求，情况会大不相同。
  4. 将它与您在 header 中提交的哈希值进行比较，它们必须相等。
  5. 如果任何检查失败，发送一个错误。否则发送响应。

有机会通过反编译您的源代码来获取共享 secret 和有关您如何计算 HMAC 散列的信息。我认为没有办法避免这种风险。 ...无需深入研究原生开发:

iOS 钥匙串(keychain)

https://developer.apple.com/library/ios/documentation/Security/Conceptual/keychainServConcepts/iPhoneTasks/iPhoneTasks.html

Android 安全功能

http://developer.android.com/training/articles/security-tips.html

关于android - phonegap 应用程序中的本地存储保护，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/20406291/

phonegapandroidstrong中包sectioniosencryptioncordova

有关android - phonegap 应用程序中的本地存储保护的更多相关文章

  1. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法？ - 2

    总的来说，我对ruby​​还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

  2. ruby - 其他文件中的 Rake 任务 - 2

    我试图在一个项目中使用rake，如果我把所有东西都放到Rakefile中，它会很大并且很难读取/找到东西，所以我试着将每个命名空间放在lib/rake中它自己的文件中，我添加了这个到我的rake文件的顶部:Dir['#{File.dirname(__FILE__)}/lib/rake/*.rake'].map{|f|requiref}它加载文件没问题，但没有任务。我现在只有一个.rake文件作为测试，名为“servers.rake”，它看起来像这样:namespace:serverdotask:testdoputs"test"endend所以当我运行rakeserver:testid时

  3. ruby-on-rails - Ruby net/ldap 模块中的内存泄漏 - 2

    作为我的Rails应用程序的一部分，我编写了一个小导入程序，它从我们的LDAP系统中吸取数据并将其塞入一个用户表中。不幸的是，与LDAP相关的代码在遍历我们的32K用户时泄漏了大量内存，我一直无法弄清楚如何解决这个问题。这个问题似乎在某种程度上与LDAP库有关，因为当我删除对LDAP内容的调用时，内存使用情况会很好地稳定下来。此外，不断增加的对象是Net::BER::BerIdentifiedString和Net::BER::BerIdentifiedArray，它们都是LDAP库的一部分。当我运行导入时，内存使用量最终达到超过1GB的峰值。如果问题存在，我需要找到一些方法来更正我的代

  4. ruby - 在 Ruby 程序执行时阻止 Windows 7 PC 进入休眠状态 - 2

    我需要在客户计算机上运行Ruby应用程序。通常需要几天才能完成(复制大备份文件)。问题是如果启用sleep，它会中断应用程序。否则，计算机将持续运行数周，直到我下次访问为止。有什么方法可以防止执行期间休眠并让Windows在执行后休眠吗？欢迎任何疯狂的想法;-) 最佳答案 Here建议使用SetThreadExecutionStateWinAPI函数，使应用程序能够通知系统它正在使用中，从而防止系统在应用程序运行时进入休眠状态或关闭显示。像这样的东西:require'Win32API'ES_AWAYMODE_REQUIRED=0x0

  5. ruby-on-rails - Rails 3 中的多个路由文件 - 2

    Rails2.3可以选择随时使用RouteSet#add_configuration_file添加更多路由。是否可以在Rails3项目中做同样的事情？ 最佳答案 在config/application.rb中:config.paths.config.routes在Rails3.2(也可能是Rails3.1)中，使用:config.paths["config/routes"] 关于ruby-on-rails-Rails3中的多个路由文件，我们在StackOverflow上找到一个类似的问题

  6. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  7. ruby - 解析 RDFa、微数据等的最佳方式是什么，使用统一的模式/词汇(例如 schema.org)存储和显示信息 - 2

    我主要使用Ruby来执行此操作，但到目前为止我的攻击计划如下:使用gemsrdf、rdf-rdfa和rdf-microdata或mida来解析给定任何URI的数据。我认为最好映射到像schema.org这样的统一模式，例如使用这个yaml文件，它试图描述数据词汇表和opengraph到schema.org之间的转换:#SchemaXtoschema.orgconversion#data-vocabularyDV:name:namestreet-address:streetAddressregion:addressRegionlocality:addressLocalityphoto:i

  8. ruby - 如何指定 Rack 处理程序 - 2

    Rackup通过Rack的默认处理程序成功运行任何Rack应用程序。例如:classRackAppdefcall(environment)['200',{'Content-Type'=>'text/html'},["Helloworld"]]endendrunRackApp.new但是当最后一行更改为使用Rack的内置CGI处理程序时，rackup给出“NoMethodErrorat/undefinedmethod`call'fornil:NilClass”:Rack::Handler::CGI.runRackApp.newRack的其他内置处理程序也提出了同样的反对意见。例如Rack

  9. ruby-on-rails - Rails - 一个 View 中的多个模型 - 2

    我需要从一个View访问多个模型。以前，我的links_controller仅用于提供以不同方式排序的链接资源。现在我想包括一个部分(我假设)显示按分数排序的顶级用户(@users=User.all.sort_by(&:score))我知道我可以将此代码插入每个链接操作并从View访问它，但这似乎不是“ruby方式”，我将需要在不久的将来访问更多模型。这可能会变得很脏，是否有针对这种情况的任何技术？注意事项:我认为我的应用程序正朝着单一格式和动态页面内容的方向发展，本质上是一个典型的网络应用程序。我知道before_filter但考虑到我希望应用程序进入的方向，这似乎很麻烦。最终从任何

  10. ruby - 在 Ruby 中编写命令行实用程序 - 2

    我想用ruby​​编写一个小的命令行实用程序并将其作为gem分发。我知道安装后，Guard、Sass和Thor等某些gem可以从命令行自行运行。为了让gem像二进制文件一样可用，我需要在我的gemspec中指定什么。 最佳答案 Gem::Specification.newdo|s|...s.executable='name_of_executable'...endhttp://docs.rubygems.org/read/chapter/20 关于ruby-在Ruby中编写命令行实用程序

随机推荐