如何使用密码安全地将密钥存储在AndroidKeyStore中？

Question

我正在尝试创建一个允许用户存储密码的应用程序。现在，我允许用户通过两种方式加密他们的密码，第一种是生物识别，另一种是密码

我能够通过在 AndroidKeyStore 中创建密钥并在创建密钥时设置

biometrics

来实现

setUsetAuthenticationRequired(true)

加密，然后使用 BiometricsManager 授权密码。

但是，我不确定如何实现密码一。我尝试寻找

PBE

加密，但 Android 文档中没有太多内容。对于这种情况，最安全且最好的解决方案是什么？如果有任何相同的链接，我将不胜感激:)

（注意：如果我使用 PBE 加密，并且我将加密数据（用户名和密码的多个）存储在 RoomDB 中，如何才能 我在下次应用程序运行时检查密码是否正确，数据库中是否没有任何内容可供解密和测试）

我还找到了一种创建密钥，然后将密钥存储为条目并使用 https://developer.android.com/reference/java/security/KeyStore.PasswordProtection 来保护条目的方法。让我知道这是否是一个足够安全的解决方案或者有更好的解决方案。

谢谢！

Answer 1

如果您想在 Room 中存储密码，您需要运行哈希函数，然后存储密码的哈希值。无论您的密码有多长，哈希值都是固定大小的。

要将输入密码与数据库中存储的密码进行比较，您可以对输入进行哈希处理，并将其与数据库中存储的哈希值进行比较。因为如果你对同一个字符串应用哈希函数，你会得到相同的结果。如果至少有 1 个符号错误 - 生成的哈希值将完全不同。

您可以检查这个并使用PBKDF2算法。有关如何选择哈希函数以及不使用什么的更多详细信息，请参见这里