Quanto sono sicuri i SQLite e SharedPreferences file su Android?

Question

In primo luogo, un po 'del mio background. Ho lavorato su grandi sistemi web per oltre un decennio, Android è qualcosa che ho stato a guardare per gli ultimi due mesi; come si può immaginare, il divario è piuttosto ampia:)

sicurezza di Android e autorizzazioni e parte Data Storage di documentazione, parlando direttamente con gli sviluppatori, la lettura di libri e tutorial, è abbastanza chiaro come funziona tutto il modello. Tuttavia, non sono riuscito a trovare una risposta se i file SQLite e SharedPreferences sono abbastanza sicuro per memorizzare le informazioni delicate non criptato (per esempio, OAuth gettoni). E 'possibile che qualcuno per afferrare in alcun modo? Citando la documentazione di Android:

  

I dati memorizzati da un'applicazione saranno assegnati l'ID utente dell'applicazione, e normalmente non accessibili ad altri pacchetti.

E ' normalmente non accessibili parte dandomi capelli grigi in più:)

Grazie, risposte utili sono apprezzati:)

Answer 1

  

E 'possibile che qualcuno per afferrare in alcun modo?

Questo dipende dalla persona. Mentre il signor Burov indica, gli utenti di telefoni radicate possono ottenere a tutto quello che vogliono. Gli utenti ordinari e altre applicazioni non possono, per impostazione predefinita.

  

E 'la parte normalmente non accessibili dandomi capelli grigi in più:)

Per impostazione predefinita, i file sono al sicuro. È possibile farli mondo leggibile o scrivibile se si sceglie.

  

Non sarebbe possibile decompilare il file apk e trovare la chiave di crittografia e in quel caso?

Questo dipende da chi si sta difendendo contro. Se si sta difendendo contro altre applicazioni, hanno l'utente fornisce la chiave di crittografia. Se si sta difendendo contro l'utente, sei fregato, proprio come tutte le implementazioni di DRM sono avvitati.

Answer 2

Beh, c'è un mucchio di SharedPreferences dell'editor applicazioni sul mercato, quindi sono sicuramente non sicuri. Anche sulla base di dati radicata dispositivi può tirare fuori facilmente, in quanto utente ha pieno accesso ai telefoni filesystem. Quindi, se si desidera che la vostra applicazione totalmente assicurata, crittografare i dati.