Android 静态字符串安全存储方案

最近比较关注安全问题，项目中确实存储了一些第三方的key和id之类的参数，都是已静态字符串的方式存储在java中，感觉不太安全，dex反编译就会被他人知道，于是这几天一直在找有关这方面的资料，以下是在网上看到的几种安全存储方案

1、拆分存储法

将字符串拆成几个部分分别存储在不同的地方，组合后即可用

如将字符串拆成数个部分，分别存储在java代码中、String.xml、Gradle中
反编译需要反编译 dex获取java代码，通过R.class和反编译资源文件获取String.xml内容，通过BuildConfig.class 对照获取Gradle存储的文件

AppId的拆分，我这里只是简单拆分一下，可以在拆分的字符中加点盐，或加密算法，以增加算法的复杂度，加大反编译难度

//appId = 45fdf245fds2af1d5sfs2d1;
public static String appIdPar1 = "45fdf245";

<string name="appIdPar2">fds2af1d</string>

buildConfigField "String", "appIdPar3", "\"5sfs2d1\""

获取appId

public void getAppId(){
    return new StringBuffer().append(appIdPar1).append(getString(R.string.appIdpar2)).append(BuildConfig.appIdPar3)
}

方案特点：加密逻辑简单，但需要对每个字符串进行拆解，工作效率不高，逆向获取工作量加大一些，难度不大

2、字符串加密法

使用StringFog对Dex字符串进行加密，使得别人无法直接看到你的明文，加上java的混淆机制，加大了寻找关键字符和反编译的难度
StringFog是一个开源的对Dex字符串加密的库，地址：https://github.com/MegatronKing/StringFog

方案特点：对java中所有字符串加密，配上java的混淆，反编译查找需要的字符比较困难，但是加密算法在java代码中及秘钥是明文，弄清其加密方案依旧可以将密文一一解码

3、so文件存储方案

1.将字符串进行分段加密写入cpp文件中（这里加密是防止一些逆向者使用IDA破解后直接获得明文）

2.编写获取该字符串的jni方法,最好在jni方法中加上Apk签名验证防止他人直接使用so文件获取字符串

3.在so文件中添加无关代码，增加静态解析难度

4.在java中调jni方法获取字符串

方案特点：需要会jni编程，安全系数相对较高

最后编辑于：2017.12.06 21:05:32

©著作权归作者所有,转载或内容合作请联系作者
【社区内容提示】社区部分内容疑似由AI辅助生成，浏览时请结合常识与多方信息审慎甄别。
平台声明：文章内容（如有图片或视频亦包括在内）由作者上传并发布，文章内容仅代表作者本人观点，简书系信息发布平台，仅提供信息存储服务。