Як зберігається пароль Gmail в Android - і де?

Я оглянувся і не знайшов інформації про те, як Android вдається зберігати паролі на пристрої. Особливо паролі Gmail. Я хочу дізнатися, як Android шифрує та зберігає паролі? Який ключ він використовує та де цей ключ зберігається та який алгоритм шифрування він використовує.

Офіційний додаток Gmail не зберігає пароль у вашому пристрої. Ваш пароль на 100% безпечний, якщо ви використовуєте цю програму.

Ось як це працює . Пароль використовується вперше серверами аутентифікації Google. Після першої успішної автентифікації Auth Tokenзавантажується на пристрій, який зберігається у accounts.dbфайлі як звичайний текст. Для всіх наступних входів Auth Tokenвикористовується це, а не ваш оригінальний пароль.
Отже, якщо ваш пристрій викрадений, кожен, хто може отримати, Auth Tokenстає недійсним після зміни пароля. Отже, ви будете мати остаточне командування.
Для забезпечення максимальної безпеки рекомендую ввімкнути 2-Factor Authenticationта створити Device Specific Passwordдля свого пристрою. Після втрати пристрою все, що вам потрібно, - це відключити цей пристрій. Вам навіть не потрібно змінювати основний пароль.

Примітка. Це все не так, якщо ви використовуєте сторонні додатки електронної пошти для Gmail саме. Додаток електронної пошти, K-9 Mail тощо. Протокол IMAP або POP потребує оригінального пароля для автентифікації користувачів кожного разу. Отже, звичайний пароль повинен бути доступний для електронної пошти додатку, перш ніж надсилати його на сервер. Отже, більшість програм електронної пошти зберігають паролі у простому тексті (хешування / шифрування марно, оскільки хеш-ключ / шифрування потрібно зберігати локально). У цьому випадку я рекомендую вам увімкнути 2-Factor Authenticationта створити Device Specific Passwordдля свого пристрою. Після втрати пристрою все, що вам потрібно, - це відключити цей пристрій.

Оновлення:
технічно можливо зберігати паролі локально в зашифрованому / хешованому вигляді, не зберігаючи ключ шифрування / ключ хешування в простому тексті локально. Дякуємо @JFSebastian за вказівку на це. На жаль, така реалізація для Android поки недоступна. Запускаючи ICS, Android надає API KeyChain, за допомогою якого програма може зберігати пароль локально в захищеній формі. Програми, які використовують API KeyChain, є рідкісними, але додаток електронної пошти використовує його (Завдяки @wawa за цю інформацію). Отже, ваш пароль буде безпечним для додатка електронної пошти, поки ваш екран заблокований. Пам'ятайте, що KeyChain не є безпечним, якщо пристрій вкорінено та його немає на пристроях, що попередньо ICS.

Паролі Android, які використовуються із вбудованою програмою електронної пошти, зберігаються у простому тексті всередині бази даних SQLite. Це на відміну від програми Gmail , яка використовує Auth Tokens, як описано у відповіді Сахіна Сехара .

Для Jelly Bean розташування бази даних:

/data/system/users/0/accounts.db

^{Наведене вище розташування залежить від версії Android}

Це місце на не вкоріненому пристрої захищено та захищено Операційною системою.
На корінних пристроях користувачі вже технічно зламали власну безпеку, і навіть якщо це не було в простому тексті, все одно було б тривіально розшифрувати, оскільки ключ повинен існувати десь на пристрої, щоб це зробити.

Член команди розробки Android розмістив пояснення, яке до сьогодні діє:

Тепер щодо цієї особливої ​​турботи. Перше, що слід уточнити, це те, що програма електронної пошти підтримує чотири протоколи - POP3, IMAP, SMTP та Exchange ActiveSync - і за дуже невеликими, дуже обмеженими винятками, все це є більш старими протоколами, які вимагають, щоб клієнт представив пароль серверу на кожному з'єднанні. Ці протоколи вимагають, щоб ми зберегли пароль на той час, як ви хочете використовувати обліковий запис на пристрої. Новіші протоколи цього не роблять - ось, наприклад, деякі статті контрастують з Gmail. Новіші протоколи дозволяють клієнту одноразово використовувати пароль, щоб створити маркер, зберегти маркер і відкинути пароль.

Я закликаю вас переглянути статтю, пов’язану з коментарем №38 , яка є добре написаною та досить інформативною. Це дає дуже хороший фон про різницю між "затемненням" паролів і роблячи їх справді "безпечними". Просто затемнення вашого пароля (наприклад, base64) або шифрування його ключем, збереженим в іншому місці, не зробить ваш пароль або ваші дані більш безпечними. Зловмисник все одно зможе отримати його.

(Зокрема, було заявлено про деякі інші клієнти електронної пошти, які не зберігають пароль у чіткому тексті. Навіть там, де це правда, це не означає, що пароль є більш безпечним. Простий тест: якщо ви можете завантажувати пристрій почне надходити електронною поштою на налаштовані ваші облікові записи, тоді паролі не справді захищені. Вони або заблукали, або зашифровані іншим ключем, який зберігається десь в іншому місці).

Окрім того, оскільки ця проблема заважає багатьом користувачам Android, ви також можете слідкувати за цим обговоренням на Slashdot - дані пароля для Android, які зберігаються в простому тексті .