正確加密應用程序數據的方法

Question

只是有關對應用程序數據使用加密的一個簡短問題。

假設您有一個移動應用程序，則該應用程序需要存儲一些潛在的敏感數據。 在這種情況下，需要隱藏的公司IP地址列表。

顯而易見的答案是使用用戶密碼的哈希值進行加密。 但是，在這種情況下，用戶帳戶是可選的，因此密碼可能不存在。 加密商店數據的下一個最佳方法是什么？

我的第一個猜測（可能是最不安全的）是應用程序中內置的密鑰，但是這里的問題是存在各種攻擊的風險，這些攻擊可能會使密碼恢復。

接下來的猜測是找到可以用作密碼生成器種子的設備的某種標識符。 再次似乎是一種有缺陷的方法。

最后一個想法是安全地隨機生成密碼，並使用上述方法之一對其進行加密存儲。

我遵循正確的思路還是走了？

我對加密算法有很好的了解，但是找到合適的應用程序使我抓狂。 任何幫助將非常感激。

謝謝

Answer 1

關鍵是：只要您的數據僅駐留在移動設備上，最終您就會受到限制。 從這個意義上講：如果您需要以安全可靠的方式存儲信息，則應考慮“服務器端”解決方案。

如果這不可能，那么下一個最好的事情就是讓您的應用向用戶詢問一個不同的密碼-然后將其用作您問題中所概述的密鑰。 您絕對不希望有一個適用於所有用戶/設備的通用密鑰。

但是，當然-要求用戶每次想要使用該應用程序時都鍵入一個特殊密碼將不是您的用戶想要的解決方案。 因此，您將不得不為用戶提供以某種方式存儲該密碼的方法-這又增加了潛在攻擊的范圍。

長話短說：沒有“遠程”服務，您只需在“用戶體驗”與“足夠的安全性”之間取得平衡。 根據您的用戶群，您必須確定對這些人來說更重要的是安全性還是便利性。

Answer 2

接下來的猜測是找到可以用作密碼生成器種子的設備的某種標識符。 再次似乎是有缺陷的。 -？

您可以使用ANDROID_ID或UUID的哈希代替密碼來對其進行加密

您對此有何看法？