Comment stocker de manière sécurisée un jeton d'accès et un secret dans Android ?

Question

Je vais utiliser oAuth pour récupérer les mails et les contacts de google. Je ne veux pas demander à l'utilisateur de se connecter à chaque fois pour obtenir un jeton d'accès et un secret. D'après ce que j'ai compris, je dois les stocker dans mon application, soit dans une base de données, soit dans une base de données. SharedPreferences . Mais je suis un peu inquiet quant aux aspects de sécurité. J'ai lu que vous pouviez crypter et décrypter les tokens mais il est facile pour un attaquant de décompiler votre apk et vos classes et d'obtenir la clé de cryptage.
Quelle est la meilleure méthode pour stocker ces jetons en toute sécurité dans Android ?

Answer 1

Auth0 fournit une classe utilitaire pour stocker les jetons. Il est préférable d'utiliser cette bibliothèque utilitaire. Il existe deux classes que vous pouvez utiliser pour gérer les informations d'identification :

1. CredentialsManager stocke les données en texte clair
2. SecureCredentialsManager crypte les données avant de les stocker, à l'aide de la technologie une combinaison d'algorithmes RSA et AES ainsi que d'algorithmes Android
   KeyStore.

Lien vers la documentation : Auth0.Android Sauvegarde et renouvellement des jetons