1

Estoy desarrollando una app y tengo unas credenciales que me sirve guardarlas en la carpeta assets, mi pregunta sería si un usuario común tiene acceso a esa carpeta o es seguro guardar la información ahí.

Me sirve guardar ahí porque la app es una webview y de ahí le entrego datos.

let secret_client = ""; // PRIMERA INFO PRIVADA

let secret_token = ""; // SEGUNDA INFO PRIVADA


let url = ""; //

6
  • Solo por curiosidad, en que escenario tú estás pensando que podría haber un problema de seguridad?? (suponiendo el caso que si tiene acceso a esa carpeta)
    – Yussef
    Commented el 15 sept. 2022 a las 5:07
  • @Yussef obtener información de una base de datos. la llave para descifrarla
    – code2018
    Commented el 15 sept. 2022 a las 5:32
  • Pero es una base de datos que él tiene acceso mediante la aplicación?? Es decir quieres proteger los mismos datos que él ya tiene acceso por un lado, pero te preocupa que lo obtenga por otro? o es otra situación? Porque, dado el caso cualquier cosa que guardes en el dispositivo es accesible de una u otra manera, por eso las app de los bancos piden contraseña cada vez que la abres, pero en muchas otras app se guarda en alguno lado, porque realmente no amerita tal nivel de seguridad
    – Yussef
    Commented el 15 sept. 2022 a las 5:44
  • @Yussef se coge esa información de la carpeta y se envía por post, se obtienen los datos que se usan en ese momento y eso es todo. Me interesa saber si el usuario pudiese obtener la carpeta, ya sea entrando en los archivos de la app o de otra manera y ver el código fuente.
    – code2018
    Commented el 15 sept. 2022 a las 15:11
  • Es bien ambigua tu pregunta, porque que es seguro?? Hasta donde entiendo la carpeta Assets se compila, porque lo que un usuario "normal" no podrá verlo. Tampoco entiendo, si es que te preocupa tanto el tema de la seguridad porque no usas el AccountManager o el SharedPreferences que es lo que la documentación dicta
    – Yussef
    Commented el 20 sept. 2022 a las 5:23

2 respuestas 2

2
+50

Puedes guardar la información dentro de /assets, pero si esta información es sensible, este no es el lugar adecuado, ya que estos valores se pueden obtener mediante ingeniería inversa.

Incluso actualmente si deseas subir una aplicación a Google Play puedes obtener un mensaje como el siguiente:

Leaked GCP API Keys Your app contains exposed Google Cloud Platform (GCP) API keys.

Lo correcto en Android para esconder información sensible, es definir esta información dentro de tu archivo gradle.properties, ejemplo:

SECRET_CLIENT_API_KEY=key=AIzaSyJorgeSysIsCoOlaeB12GSET-U
SECRET_TOKEN_API_KEY=key=AIzaS12JorgeSysIsCoOlsauPrOsTaeB12GSET-U

y definir la referencia de estos valores dentro del archivo app/build.gradle:

android {
    ...
    ...
    defaultConfig {
    ...
    ...
    ...
        //Defined in gradle.properties
        buildConfigField "String", "SECRET_CLIENT_API_KEY", "\"$SECRET_CLIENT_API_KEY\""
        buildConfigField "String", "SECRET_TOKEN_API_KEY", "\"$SECRET_TOKEN_API_KEY\""
    }

}

al generar tu proyecto se generará la clase BuildConfig que contendrá los valores y que podrás asignar a tu aplicación al realizar la compilación, y estos no se podrán obtener mediante ingeniería inversa.

//Obtiene valores escondidos.
val myApiKey = BuildConfig.SECRET_TOKEN_API_KEY
val mySecretToken = BuildConfig.SECRET_TOKEN_API_KEY
5
  • Entonces uso el .AAB o este método? Y cómo llamaría esas credenciales desde un código Javascript en una carpeta assets?
    – code2018
    Commented el 22 sept. 2022 a las 1:39
  • si usas .AAB, también debes usar este método para "esconder" los valores, el código que muestro es en Kotlin, estas usando Javascript?
    – Jorgesys
    Commented el 22 sept. 2022 a las 18:01
  • sí, ya que tanto el html, el css y el Javascript los guardo ahí porque básicamente es solo eso la app sin ser 100% nativa... Por eso te pregunto cómo puedo hacer para traer esos valores al Javascript alojado en el assets
    – code2018
    Commented el 22 sept. 2022 a las 22:00
  • Podrías agregar tu html que se encuentra en assets?
    – Jorgesys
    Commented el 22 sept. 2022 a las 22:11
  • 1
    Sería en otra pregunta... Gracias, voy a intentar tu código a ver cómo me va
    – code2018
    Commented el 24 sept. 2022 a las 7:23
-1

Se puede pero es inseguro.

Toda información que guardes en el proyecto y sea compilada podría ser accesible por un usuario que tenga permisos de root.

Si querés evitar que tu aplicación pueda ser usada por usuarios que tengan permisos de root, podes ver este post o algún otro similar.

Si elegís este camino, es bastante más seguro poner credenciales en la compilación de la app.

Sin embargo, hay estrategias para asegurar que ante cualquier ataque tus credenciales sean más difíciles de obtener.

Dejo un par de estrategias

  • Encriptar esas credenciales. Osea, no guardarlas así "como vienen al mundo". Esto ni bien un atacante persistente podría obtenerlas. Su trabajo se haría más dificultoso y podría desistir.
  • Obtener esas credenciales desde una api web mediante una llamada HTTP u otro método. Esto también ayuda a esconder esas credenciales ya que no figuran en el código fuente de la app.

Aviso obligatorio

Ninguna estrategia asegura que tu app sea inaccesible / incrackeable. Todo el tiempo se descubren nuevos baches de seguridad y formas nuevas de obtener y esconder los datos sensibles.

Cómo regla general, creo que está bueno, en la medida que sea posible, ser responsables con los datos sensibles y tomar medidas para que no sean tan fáciles de obtener.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.