0

Hace poco subí mi aplicación desarrollada en Android Studio a Google Play Store, y obtengo estos errores:

Modo de algoritmo de cifrado no seguro Tu aplicación contiene un modo de cifrado menos seguro. Consulta este artículo del Centro de Ayuda de Google para obtener más información.

com.twoploapps.a2plomessenger.ChatActivity.encrypt

com.twoploapps.a2plomessenger.RegistroActivity.encrypt

Cifrado no seguro Tu aplicación tiene patrones de cifrado criptográfico no seguros. Consulta este artículo del Centro de Ayuda de Google para obtener más información.

com.twoploapps.a2plomessenger.ChatActivity.encrypt

com.twoploapps.a2plomessenger.RegistroActivity.encrypt

Este es el codigo:

 private static final String AES = "AES";
 private static final String key = "miclavedecifrado";
 //obviamente esa no es la clave real
  private static String encrypt(String mensajeTexto) {
    SecretKeySpec secretKey = new SecretKeySpec(key.getBytes(), AES);
    byte[] encryptedData = new byte[0];
    try {
        Cipher cipher = Cipher.getInstance(AES);
        cipher.init(Cipher.ENCRYPT_MODE, secretKey);
        encryptedData = cipher.doFinal(mensajeTexto.getBytes(StandardCharsets.UTF_8));
    } catch (Exception ex) {
        Log.e("Error",ex.getMessage());
    }
    return Base64.encodeToString(encryptedData, Base64.DEFAULT);
}

Como puedo solucionarlo?

Ojo: Aún no soy 100% experto en el tema, de hecho esta es la primera app que subo a google play y por eso pido ayuda, espero que sean amables y tengan paciencia al ayudarme, también quiero hacer una aclaración, la app si se subió a google play, pero debo solucionar esos errores para que la app no sea suspendida

1
  • 2
    Los valores de inicialización se encuentran en el código, eso es lo que debes evitar.
    – Jorgesys
    Commented el 14 feb. 2023 a las 22:32

2 respuestas 2

3

El problema se indica en esta línea de código, en donde el valor de key está expuesto:

 SecretKeySpec secretKey = new SecretKeySpec(key.getBytes(), AES);

Este es el artículo al que se hace referencia en tu mensaje de error:

Solución para el cifrado criptográfico no seguro

Cómo corregir las alertas de patrones de cifrado criptográfico no seguros

Revisa tu aplicación y busca claves, vectores de inicialización o salts que se hayan calculado de forma estática y se utilicen en operaciones de cifrado criptográfico. Asegúrate de que sus valores se hayan creado de forma segura. Por ejemplo, el siguiente código utiliza una clave secreta y un vector de inicialización calculados de forma estática:

 // La alerta de Play Console se refiere a este método
  public byte[] encryptionUtil(String key, String iv, byte[] plainText) {
    Cipher cipher = Cipher.getInstance(“AES/GCM/NoPadding”);
    SecretKeySpec keySpec = new SecretKeySpec(key.getBytes(), “AES”);
    GCMParameterSpec paramSpec = new GCMParameterSpec(256, iv.getBytes());
    cipher.init(Cipher.ENCRYPT_MODE, keySpec, paramSpec);
    return cipher.doFinal(plainText);
  }

  // La clave y el vector de inicialización no seguros se encuentran en este fragmento y deben cambiarse
  byte[] cipherText = encryptionUtil(“abcdef...”, “010203040506”, plainText);

Estas son las soluciones recomendadas para Android.

Esta es una forma de realizar un cifrado criptográfico seguro:

1) Agrega en gradle.properties (si no existe crea este archivo) la entrada CLAVE_CIFRADO con el password:

CLAVE_CIFRADO=1234567890abcdefghij

2) En tu archivo build.gradle, dentro del bloque defaultConfig { :

 buildConfigField "String", "CLAVE_CIFRADO", "\"$CLAVE_CIFRADO\""

de esta forma cuando generes tu proyecto, se generará dentro del archivo BuildConfig.java la referencia a este valor.

3) Entonces, dentro de tus clases puedes hacer uso de este valor con seguridad:

private static final String AES = "AES";
private static final String password = ""; //* No se define la clave por seguridad.
private static final int iterations = 10000;
private static final int keyLength = 256;

private static SecretKey generateKey() throws NoSuchAlgorithmException, InvalidKeySpecException {

    password = BuildConfig.CLAVE_CIFRADO; //*Se obtiene valor.

    char[] chars = password.toCharArray();
    byte[] salt = new byte[16];
    SecureRandom random = new SecureRandom();
    random.nextBytes(salt);
    PBEKeySpec spec = new PBEKeySpec(chars, salt, iterations, keyLength);
    SecretKeyFactory skf = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
    byte[] keyBytes = skf.generateSecret(spec).getEncoded();
    return new SecretKeySpec(keyBytes, AES);
}
2
  • Hola, seguí los pasos que mencionaste y subí una actualización a play strore, sin embargo, sigue apareciendo exactamente ese mismo mensaje de error
    – 2Plo Apps
    Commented el 16 feb. 2023 a las 16:18
  • Estas seguro que obtienes en tu còdigo el password o llave ùnicamente desde la clase BuildConfig? debes revisar si tienes algùn lugar donde no se realice esto.
    – Jorgesys
    Commented el 16 feb. 2023 a las 17:29
2

La forma en que cifras tu app es insegura debes de utilizar el cifrado AES con una clave generada de manera más segura. En lugar de utilizar una cadena de texto simple como clave, puedes utilizar una función de generación de claves, como PBKDF2, para generar una clave a partir de una contraseña.

PBKDF2 es un algoritmo que utiliza una contraseña y un conjunto de parámetros de generación de claves para producir una clave segura y única.

Ejemplo implementacion de PBKDF2:

private static final String AES = "AES";
private static final String password = "miclaveparaPBKDF2";
private static final int iterations = 10000;
private static final int keyLength = 256;

private static SecretKey generateKey() throws NoSuchAlgorithmException, InvalidKeySpecException {
    char[] chars = password.toCharArray();
    byte[] salt = new byte[16];
    SecureRandom random = new SecureRandom();
    random.nextBytes(salt);
    PBEKeySpec spec = new PBEKeySpec(chars, salt, iterations, keyLength);
    SecretKeyFactory skf = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
    byte[] keyBytes = skf.generateSecret(spec).getEncoded();
    return new SecretKeySpec(keyBytes, AES);
}

private static String encrypt(String mensajeTexto) {
    SecretKey secretKey = null;
    byte[] encryptedData = new byte[0];
    try {
        secretKey = generateKey();
        Cipher cipher = Cipher.getInstance(AES);
        cipher.init(Cipher.ENCRYPT_MODE, secretKey);
        encryptedData = cipher.doFinal(mensajeTexto.getBytes(StandardCharsets.UTF_8));
    } catch (Exception ex) {
        Log.e("Error",ex.getMessage());
    }
    return Base64.encodeToString(encryptedData, Base64.DEFAULT);
}

La clave la generamos con generateKey() y la documentacion por haca: Link y Link

6
  • 1
    Y como podría desencriptar los datos, acabo de actualizar la pregunta con el código que use para desencriptar
    – 2Plo Apps
    Commented el 14 feb. 2023 a las 20:47
  • 3
    eso es otra pregunta diferente, te recomiendo hacer solo una pregunta por post. Commented el 14 feb. 2023 a las 20:48
  • 1
    @2PloApps puedes hacer otra pregunta mencionando tus otras dudas que tengas y verificar esta respuesta. Commented el 14 feb. 2023 a las 21:11
  • Esto es lo que precisamente hace que marque el error , esta expuesta esta información : private static final String password = "miclaveparaPBKDF2"; , esto es lo que debe ser escondido. @2PloApps
    – Jorgesys
    Commented el 14 feb. 2023 a las 22:31
  • @Jorgesys donde sugieres que se guarde? Commented el 14 feb. 2023 a las 22:37

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.