Android KeyStore 存储密码 / 憋错料

以前KeyStore的概念就是存储app签名的地方，如果你查Android KeyStore，出来的资料都是如何给app生成签名什么的，但是这里的意义却不相同。Android KeyStore系统允许你存储加密密钥，并且难以从设备中导出，并且可以指明key的使用规则，例如只有用户验证后，才可以使用key等。

防止导出的方法：

Key material never enters the application process.
Key material may be bound to the secure hardware(e.g., Trusted Execution Environment(TEE), Secure Element(SE)) of the Android device.

可以通过以下代码获取你的KeyStore。

try {
    KeyStore mKeyStore = KeyStore.getInstance(“YourType");
} catch (KeyStoreException e) {
    return;
}

KeyStore.getInstance(参数)中的参数可以传以下内容：

“AndroidKeyStore”：这里要先区分下AndroidKeyStore和Android KeyStore，虽然这两个一样，但是后者中间多了个空格，意义是不一样的，前者是子集，后者是父集，后者包含前者。而AndroidKeyStore主要是用来存储一些密钥key的，存进该处的key可以为其设置KeyProtection，例如只能通过用户验证才能取出key使用等。这些key是存在系统里的，不是在app的目录下，并且每个app不能访问其他app的key，如果app1创建了key1，并且存储的时候命名为temp，app2去通过temp去访问key，是获取不到的！！
KeyStore.getDefaultType()：该函数返回的是一个字符串，在java下，返回的是JKS，在Android下，返回的是BKS（生成android使用的BKS证书）。(注：android 系统中使用的证书要求以BKS的库文件结构保存，通常情况下，我们使用java的keytool只能生成jks的证书库。读取key可以通过psw来读取)。当你使用这个keystore的时候，其文件存放在data（沙盒中）。
其他情况，还有一些其他的keystore，我目前暂不清楚，但有看到过传一些其他的参数。

那key分为哪些呢：

Symmetric key（对称密钥）: secret key
Asymmetric key（非对称密钥）: public key && private key

如何生成key，可以通过以下两个类：

KeyGenerator(KeyPairGenerator): 根据一些指定的参数，例如算法，补码模式等参数，来生成一个新的key。
KeyFactory: 当服务器想告知客户端key，只是将key的byte数组传过来，可以通过这个类来还原key。
当然生成key的时候，你要说明，可以通过KeySpec的子类来说明。

看一个生成key和还原key的例子：

//对称key即SecretKey创建和导入，假设双方约定使用DES算法来生成对称密钥
KeyGeneratorkeyGenerator = KeyGenerator.getInstance("DES");
//设置密钥长度。注意，每种算法所支持的密钥长度都是不一样的。DES只支持64位长度密钥
keyGenerator.init(64);
//生成SecretKey对象，即创建一个对称密钥，并获取二进制的书面表达
SecretKey secretKey = keyGenerator.generateKey();
byte[] keyData =secretKey.getEncoded();
//日常使用时，一般会把上面的二进制数组通过Base64编码转换成字符串，然后发给使用者
String keyInBase64 =Base64.encodeToString(keyData,Base64.DEFAULT);
 e(TAG,“==>secret key: encrpted data =”+ bytesToHexString(keyData))；
 e(TAG,"==>secrety key:base64code=" + keyInBase64 +“  key:alg=" + secretKey.getAlgorithm());

//假设对方收到了base64编码后的密钥，首先要得到其二进制表达式，用二进制数组构造KeySpec对象。对称key使用SecretKeySpec类
 byte[] receivedKeyData =Base64.decode(keyInBase64,Base64.DEFAULT);
SecretKeySpec keySpec =new SecretKeySpec(receivedKeyData,”DES”);
//创建对称Key导入用的SecretKeyFactory
SecretKeyFactorysecretKeyFactory = SecretKeyFactory.getInstance(”DES”);
//根据KeySpec还原Key对象，即把key的书面表达式转换成了Key对象
SecretKey receivedKeyObject = secretKeyFactory.generateSecret(keySpec);
byte[]encodedReceivedKeyData = receivedKeyObject.getEncoded();
e(TAG,"==>secret key: received key encoded data ="+bytesToHexString(encodedReceivedKeyData));

实际应用：

如果app想存储一段字符Content（类似密码或者token）在客户端，如何利用keyStore保证其安全性，防止被他人读取。

解决方案步骤：

1.如果将Content存入KeyStore，那么只能通过将Content作为Key存入KeyStore中，刚刚讲过生成key的时候有两种方法，一种是生成key，一种是还原key（keyFactory），因为我们这里已经知道content，那么是还原key，通过KeyFactory。

2.该key属于SecretKey，因为没有私钥和公钥的概念。应该使用PBE算法（Password Based Encryption基于密码加密）来生成。

3.接下来就是生成key的过程。刚刚说过生成key的时候，需要指明key的一些参数，通过KeySpec的子类。查了一下，正好有PBEKeySpec!

上代码：

//根据内容生成secret key
PBEKeySpec keySpec = new PBEKeySpec(content.toCharArray());
SecretKeyFactory keyFactory = SecretKeyFactory.getInstance("PBEWITHSHA1ANDDES");
SecretKey key = keyFactory.generateSecret(keySpec);
KeyStore.SecretKeyEntry entry = new KeyStore.SecretKeyEntry(key);
//存储key
keyStore.setEntry(keyName, entry, new KeyStore.PasswordProtection(psw.toCharArray()));

PBEWITHSHA1ANDDES这个是加密的算法，主要的算法是PBE，加之sha1和des。

4。接下来就是存储在哪个KeyStore。因为我们生成的是SecretKey，如果存在AndroidKeyStore中，会抛出异常。因为AndroidKeyStore对于SecretKey只支持AES和HMAC。

所以目前只能存在BKS这个keyStore中，也就是数据是放在沙盒中的。

完整的生成和存储key的代码：

File file = new File(context.getFilesDir(), "temp");
if (!file.exists()) {
     keyStore.load(null, null);
     file.createNewFile();
     return;
}
FileInputStream in = new FileInputStream(file);
keyStore.load(in, psw.toCharArray());
in.close();
PBEKeySpec keySpec = new PBEKeySpec(token.toCharArray());
SecretKeyFactory keyFactory = SecretKeyFactory.getInstance("PBEWITHSHA1ANDDES");
SecretKey key = keyFactory.generateSecret(keySpec);
KeyStore.SecretKeyEntry entry = new KeyStore.SecretKeyEntry(key);
KeyProtection.Builder builder = new KeyProtection.Builder(KeyProperties.PURPOSE_VERIFY);
builder.setUserAuthenticationRequired(true);
mKeyStore.setEntry(“alias", entry, builder.build());
mkeyStore.store(null);

在上述代码中，在load keyStore的时候，为其指定了密码（psw.toCharArray()）。在存数据的时候，也为其添加了密码保护。

现在数据已经存好了，但是不安全啊，因为如果只要将手机Root，就可以拿到沙盒中的数据。而且psw是app写死的，如果别人知道了我们的psw呢？？？岌岌可危！！

5.现在增加安全性！前面已经提到如果将key存放在AndroidKeyStore中，可以为key设置一些保护(KeyProtection)，比如说用户验证过才可以使用key，那我们可以利用这点来增加安全性。

首先我们生成一个key，并指定在用户验证后才可以使用这个key，并且存放在AndroidKeyStore中。使用这个key去加密content，然后将加密后的内容存储在BKS中。

当你取出的时候，先使用指纹验证，然后取出AndroidKeyStore中的key，再取出BKS中的内容，用key解密。

用这种方案较为安全！

看代码：

在AndroidKeyStore中生成key

void generateKey() {
    LogUtil.d("LocalAndroidKeyStore生成加密密钥...");
    //这里使用AES + CBC + PADDING_PKCS7，并且需要用户验证方能取出
    try {
        final KeyGenerator generator = KeyGenerator.getInstance(KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore");
        mStore.load(null);
        final int purpose = KeyProperties.PURPOSE_DECRYPT | KeyProperties.PURPOSE_ENCRYPT;
        final KeyGenParameterSpec.Builder builder = new KeyGenParameterSpec.Builder(SdkData.accountId, purpose);
        builder.setUserAuthenticationRequired(true);
        builder.setBlockModes(KeyProperties.BLOCK_MODE_CBC);
        builder.setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_PKCS7);
        generator.init(builder.build());
        generator.generateKey();
        LogUtil.d("LocalAndroidKeyStore生成加密密钥成功");
    } catch (Exception e) {
        LogUtil.d("LocalAndroidKeyStore生成加密密钥失败");
        e.printStackTrace();
    }
}

取出key为content加密：

mKeyStore.load(null);
final SecretKey key = (SecretKey) mKeyStore.getKey(AES_KEY_NAME, null);
if (key == null) return;
final Cipher cipher = Cipher.getInstance(KeyProperties.KEY_ALGORITHM_AES + "/"+ KeyProperties.BLOCK_MODE_CBC + "/" + KeyProperties.ENCRYPTION_PADDING_PKCS7);
cipher.init(Cipher.ENCRYPT_MODE, key);
final FingerprintManager.CryptoObject crypto = new FingerprintManager.CryptoObject(cipher);
mFingerprintManager.authenticate(crypto, null, 0, new SimpleAuthenticationCallback() {
            @Override
            public void onAuthenticationSucceeded(final FingerprintManager.AuthenticationResult result) {
                final Cipher cipher = result.getCryptoObject().getCipher();
                byte[] encrypted = cipher.doFinal(token.getBytes());
                byte[] IV = cipher.getIV();
                String result= Base64.encodeToString(encrypted, Base64.URL_SAFE);
                Log.d("tag", “result:” + result);
            }
     }, new Handler());

取出key为加密的内容解密：

 mKeyStore.load(null);
final SecretKey key = (SecretKey) mKeyStore.getKey(AES_KEY_NAME, null);
if (key == null) return;
final Cipher cipher = Cipher.getInstance(KeyProperties.KEY_ALGORITHM_AES + "/"+ KeyProperties.BLOCK_MODE_CBC + "/" + KeyProperties.ENCRYPTION_PADDING_PKCS7);
cipher.init(Cipher.DECRYPT_MODE, key, new IvParameterSpec(mIV));
final FingerprintManager.CryptoObject crypto = new FingerprintManager.CryptoObject(cipher);
mFingerprintManager.authenticate(crypto, null, 0, new SimpleAuthenticationCallback() {
            @Override
            public void onAuthenticationSucceeded(final FingerprintManager.AuthenticationResult result) {
                      final Cipher cipher = result.getCryptoObject().getCipher();
                      Log.d("tag", "Base 64 of data to decrypt is:\n" + Base64.encodeToString(encryptedToken, Base64.URL_SAFE) + "\n");
                      try {
                                 byte[] decrypted = cipher.doFinal(mEncrypted.getBytes());
                                 Log.d("tag", "Decrypted data is:\n" + Base64.encodeToString(decrypted, Base64.URL_SAFE) + "\n");
                     } catch (IllegalBlockSizeException | BadPaddingException e) {}
            }
   }, new Handler());

时间： 2024-08-29 06:07:07

Android KeyStore 存储密码

Android KeyStore 存储密码的相关文章

转：修改Android签名证书keystore的密码、别名alias以及别名密码

修改Android签名证书keystore的密码、别名alias以及别名密码

Android数据存储-通过SharedPreferences实现记住密码的操作

android默认debug.keystore的密码

Android Keystore 对称－非对称加密

Android——数据存储（四种方式之一）SharedPrefereces

从零开始学android<数据存储（1）SharedPreferences属性文件.三十五.>

Android KeyStore Stack Buffer Overflow (CVE-2014-3100)

Android SharedPreferences存储