1 votos

Seguridad de Android AccountManager

Ya hice esta pregunta antes, pero no obtuve respuestas adecuadas, así que aquí voy de nuevo. ¿Cómo implementa la seguridad el AccountManager de Android que se utiliza para almacenar tus nombres de usuario y contraseñas de Google, Facebook, Twitter, etc.? Por ejemplo, fuera de mi teléfono tiene root, no puede una aplicación de terceros leer las contraseñas de la cuenta de donde se puso. Me imagino que el gestor de cuentas debe almacenar estas contraseñas en algún lugar del dispositivo nuestro inicio de sesión no funcionaría, especialmente si el dispositivo estaba fuera de línea. Gracias por sus explicaciones.

1 votos

No podemos mirar en las fuentes, pero no necesariamente almacena contraseñas. Un token obtenido del servidor podría ser suficiente (y es lo que se utiliza normalmente - de ahí que al desutorizar un dispositivo, no sea necesario cambiar la contraseña ya que simplemente se invalida el token asignado).

0 votos

Interesante, creo que ahora lo entiendo. Tal vez usted puede hacer que una respuesta. ¿Pero por qué no están disponibles las fuentes? Pensé que Android era de código abierto. Gracias.

0 votos

Izzy, ¿el sistema que describes utiliza OpenID? Gracias.

3voto

Izzy Puntos 45544

No podemos buscar en las fuentes del Google AccountManager: mientras que el propio Android es de código abierto, el Aplicaciones de Google no lo son. Pero podemos hacer una conjetura:

En este caso no es necesario almacenar las contraseñas en el dispositivo. Una vez que se introduce la contraseña, se confirma en el servidor y se recibe un "token de autenticación" a cambio. Ese token se guarda en el dispositivo y se utiliza hasta que pierde su validez (ya sea porque caduca o porque se revoca), en cuyo caso se te pedirá de nuevo la contraseña y el juego vuelve a empezar. Por eso puedes simplemente "revocar el acceso" de los dispositivos sin tener que cambiar la contraseña de tu cuenta.

El token es siempre específico para el dispositivo (por la misma razón - de lo contrario no se podría revocar el acceso de un dispositivo sin afectar a ningún otro). No puedo decir si el token sería inútil para alguna "aplicación Root" que lo adquiriera sin tu permiso (las aplicaciones que no son Root tendrían que pedirte tu confirmación al acceder por primera vez), o qué podrían hacer con dicho token mientras están fuera de línea (de nuevo, partes de código cerrado) - tal vez alguien más sea capaz de arrojar luz sobre eso.

0 votos

Gracias por su respuesta. Realmente espero que alguien más esté dispuesto a proporcionar más detalles esta vez. Es interesante saber que las aplicaciones de Google no son de código abierto.

PreguntAndroid.com

PreguntAndroid es una comunidad de usuarios de Android en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros usuarios, hacer tus propias preguntas o resolver las de los demás.

Powered by:

X