Jak bezpieczne są pliki SQLite i SharedPreferences w systemie Android?

Question

Po pierwsze, trochę mojego tła. Od ponad dekady pracuję nad dużymi systemami internetowymi, Android jest czymś, nad czym się przyglądałem przez ostatnie dwa miesiące; jak można sobie wyobrazić, różnica jest dość szeroka :)

Patrząc na część dokumentacji Android, Security and Permissions i Data Storage, rozmawiając bezpośrednio z programistami, czytając książki i samouczki, jest całkiem jasne, jak działa cały model. Nie udało mi się jednak znaleźć odpowiedzi na pytanie, czy pliki SQLite i SharedPreferences są wystarczająco bezpieczne do przechowywania delikatnych, nieszyfrowanych informacji (na przykład tokenów OAuth). Czy ktoś może je w jakiś sposób złapać? Cytując dokumentację Androida:

Wszystkie dane przechowywane przez aplikację będą miały przypisany identyfikator użytkownika tej aplikacji i zwykle nie będą dostępne dla innych pakietów.

To normalnie niedostępnych część daje mi dodatkowe siwe włosy :)

Dziękuję pomocna odpowiedzi są mile widziane :)

Answer 1

Czy ktoś może je w jakiś sposób złapać?

To zależy od kogoś. Jak wskazuje pan Burov, użytkownicy zrootowanych telefonów mogą uzyskać wszystko, czego chcą. Zwykli użytkownicy i inne aplikacje nie mogą domyślnie.

To normalnie nie dostępne część daje mi dodatkowe siwe włosy :)

Domyślnie pliki są bezpieczne. Jeśli chcesz, możesz uczynić je czytelnymi na całym świecie lub zapisującymi świat.

Czy w takim razie nie można również dekompilować pliku APK i znaleźć klucza szyfrowania?

To zależy od tego, kogo bronisz. Jeśli bronisz się przed innymi aplikacjami, poproś użytkownika o podanie klucza szyfrowania. Jeśli bronisz się przed użytkownikiem, jesteś skrępowany, tak jak wszystkie implementacje DRM są wkręcane.

Answer 2

Cóż, jest kilka aplikacji edytora SharedPreferences na rynku, więc zdecydowanie nie są bezpieczne. Również na bazie zrootowanych urządzeń baza danych może się łatwo ściągać, ponieważ użytkownik ma pełny dostęp do systemu plików telefonu. Dlatego jeśli chcesz, aby Twoja aplikacja była całkowicie zabezpieczona, zaszyfruj swoje dane.