Google शैली की सुरक्षा

Google I / O 2019 की मृत्यु हो गई है और यह समय है एक नई वास्तुकला पर परियोजनाओं को फिर से लिखना नई चीजें सीखें। चूंकि मुझे मोबाइल एप्लिकेशन की सुरक्षा में दिलचस्पी है, इसलिए मैंने पहली बार जेटपैक परिवार में नई लाइब्रेरी पर ध्यान आकर्षित किया - सुरक्षा-क्रिप्टो । पुस्तकालय डेटा एन्क्रिप्शन को सही तरीके से व्यवस्थित करने में मदद करता है और साथ ही इस प्रक्रिया में आने वाली सभी बारीकियों से डेवलपर्स को बचाता है।

ऐतिहासिक पृष्ठभूमि

एंड्रॉइड में डेटा एन्क्रिप्शन हमेशा बहुत चर्चा उत्पन्न करता है। कौन सा एल्गोरिदम चुनना है? क्या एन्क्रिप्शन मोड का उपयोग करने के लिए? पैडिंग क्या है? कहाँ स्टोर करें कुंजी? यह सब सीखना और अपने ज्ञान को अद्यतित रखना औसत डेवलपर के लिए मुश्किल हो सकता है। इसलिए, कहानी अक्सर तीन परिदृश्यों में से एक में समाप्त होती है:

• स्टैकओवरफ़्लो के साथ पहले समाधान की कॉपी-पेस्ट
• बाद के कार्यान्वयन और रेक के संग्रह के साथ "उपयुक्त मैनुअल" की खोज करें
• "और इसलिए यह होगा!" प्रोटोकॉल की सक्रियता

जैसे ही एंड्रॉइड डेवलपर्स का समुदाय विकसित हुआ, पुस्तकालयों ने इस समस्या को हल करने में मदद करना शुरू कर दिया। इन समाधानों की गुणवत्ता बहुत अलग थी: इस सभी विविधता से, मैं केवल जावा- एसेस -क्रिप्टो का चयन कर सकता हूं, जिसका उपयोग हमने रेडमाडरोबोट में किया था। एक उच्च गुणवत्ता वाला कार्यान्वयन, लेकिन इसके साथ कुछ समस्याएं थीं।

सबसे पहले, यह सिर्फ स्ट्रिंग एन्क्रिप्शन था। यह अपने आप में बुरा नहीं है, लेकिन इन स्ट्रिंग्स को डेटाबेस या शेयर्डप्रिफरेंस में कहीं संग्रहीत करने की आवश्यकता है। तो, आपको डेटा स्रोत पर एक आवरण लिखने की ज़रूरत है ताकि मक्खी पर सब कुछ एन्क्रिप्ट किया जाए (जो हमने एक बार किया था)। लेकिन यह वह कोड है जिसे उपयोग में आसानी के लिए किसी प्रोजेक्ट से प्रोजेक्ट में खींचने या लाइब्रेरी में निष्पादित करने की आवश्यकता है। अंतत: यह भी किया गया, लेकिन इससे पूछताछ करने वाले मन को सुकून नहीं मिला।

दूसरे, इस समाधान ने प्रमुख प्रबंधन समस्या को हल करने के लिए कुछ भी पेश नहीं किया। वे उत्पन्न हो सकते हैं, लेकिन भंडारण पूरी तरह से डेवलपर के कंधों पर गिर गया। विभिन्न ओएस संस्करणों और मुख्यभूमि चीन से आने वाले उपकरणों पर AndroidKeystore के आसपास सभी स्क्वाट्स के साथ।

इस शहर को एक नए नायक की जरूरत है

2018 की गर्मियों तक सब कुछ हमेशा की तरह चला गया, मुझे पता चला कि टिंक के रूप में Google से ऐसी शानदार लाइब्रेरी है। क्रिप्टोग्राफी से संबंधित बड़ी संख्या में बारीकियों से डेवलपर को सीखना और सुरक्षित करना काफी आसान है। इस लाइब्रेरी का उपयोग करना, कुछ गलत करना लगभग असंभव है। इसके अलावा, टिंक डेवलपर से AndroidKeystore के साथ सभी कार्यों की चाबियों और सार को नियंत्रित करता है।

लेकिन यह अभी भी केवल स्ट्रिंग एन्क्रिप्शन था। और यहां बाइनरी प्राथमिकताएं बहुत सफलतापूर्वक हो गईं - एक घरेलू निर्माता से एक पुस्तकालय जिसे मैं लंबे समय से देखना चाहता हूं। यह आपको किसी भी एल्गोरिदम के सभी संग्रहीत डेटा को एन्क्रिप्ट करने की अनुमति देता है - इसके लिए यह दो इंटरफेस, KeyEnc एन्क्रिप्शन और ValueEnc एन्क्रिप्शन (क्रमशः कुंजी और मूल्यों के लिए) के कार्यान्वयन को लिखने के लिए पर्याप्त था।

नतीजतन, हमने संयोजन में इन दो पुस्तकालयों का उपयोग करना शुरू किया और खुश थे कि हमारा कोड क्लीनर और समझने में आसान हो गया।

सुरक्षा-क्रिप्टो

अब Google ने एक बार फिर डेवलपर्स से मिलने और संग्रहीत डेटा के एन्क्रिप्शन के क्षेत्र में उनके जीवन को सरल बनाने का फैसला किया है। इसके साथ मदद के लिए एक और जेटपैक लाइब्रेरी की घोषणा की गई। मैं सोच रहा था कि उन्होंने वहां इतना क्रांतिकारी क्या लिखा है, और मैं प्रलेखन देखने के लिए चढ़ गया (बिगाड़ने वाला: यह नहीं है)। मुझे केवल लाइब्रेरी में शामिल कक्षाओं पर javadoc मिला, लेकिन इसके लिए भी धन्यवाद। यह पता चला कि कुछ अवसर हैं: फ़ाइल एन्क्रिप्शन, साझाकरण और कुंजी के साथ काम करना।

लाइब्रेरी की कार्यक्षमता का परीक्षण करने के लिए, मैंने कुछ स्निपेट्स लिखे:

val file = File(filesDir, "super_secure_file") val encryptedFile = EncryptedFile.Builder(file, this, "my_secret_key", EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB) .setKeysetAlias("my_test_keyset_alias") .setKeysetPrefName("keyset_pref_file") .build() val outputStream = encryptedFile.openFileOutput() outputStream.use { it.write("secret info".toByteArray()) } 

 val encryptedPreferences = EncryptedSharedPreferences.create( "super_secret_preferences", "prefrences_master_key", this, EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV, EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM ) encryptedPreferences.edit().putString("secret", "super secret token") 

मेरे महान आश्चर्य के लिए, सब कुछ पहली बार काम किया, और मुझे यह देखने के लिए मिला कि उन्होंने इस पुस्तकालय के लिए क्या कोड लिखा है। स्रोत में गिरने के बाद, मैंने देखा कि यह वास्तव में टिंक लाइब्रेरी के चारों ओर एक आवरण है जिसे हम पहले से ही जानते हैं, और लिखित कोड लगभग एक-से-एक है जैसा कि हमने एन्क्रिप्टेड बाइनरीप्रेफेरेंस के लिए लिखा था।

मुझे बहुत खुशी हुई कि इस बार Google ने एक साइकिल मोपेड का आविष्कार करना शुरू नहीं किया, बल्कि अपनी अच्छी तरह से स्थापित प्रथाओं का उपयोग किया। आइए आशा करते हैं कि जेटपैक में आया security पैकेज केवल इस लाइब्रेरी तक ही सीमित नहीं होगा, बल्कि आगे भी विकसित होगा।

बाइनरीप्रिफरेंस + टिंक बंडल का प्रदर्शन
सुरक्षा-क्रिप्टो पुस्तकालय स्रोत कोड
सुरक्षा-क्रिप्टो डेमो