1 votes

Sécurité Android AccountManager

J'ai déjà posé cette question, mais je n'ai pas obtenu de réponse satisfaisante, alors je la pose à nouveau. Comment le AccountManager Android, qui est utilisé pour stocker vos noms d'utilisateur et mots de passe Google, Facebook, Twitter, etc..., met-il en œuvre la sécurité ? Par exemple, si mon téléphone est enraciné, une application tierce ne peut-elle pas lire les mots de passe des comptes où qu'ils se trouvent ? Je me dis que le gestionnaire de compte doit stocker ces mots de passe quelque part sur l'appareil ; notre connexion ne fonctionnerait pas, surtout si l'appareil était hors ligne. Merci pour vos explications.

1 votes

Nous ne pouvons pas vérifier les sources, mais il ne stocke pas nécessairement les mots de passe. Un jeton obtenu auprès du serveur pourrait suffire (et c'est ce qui est normalement utilisé - ainsi, lors de la désautorisation d'un appareil, il n'est pas nécessaire de changer de mot de passe car cela invalide simplement le jeton attribué).

0 votes

Intéressant, je crois que je comprends maintenant. Peut-être pouvez-vous en faire une réponse. Mais pourquoi les sources ne sont-elles pas disponibles ? Je pensais qu'Android était open source. Je vous remercie.

0 votes

Izzy, le système que vous décrivez utilise-t-il OpenID ? Je vous remercie.

3voto

Milner Points 533

Nous ne pouvons pas examiner les sources du Google AccountManager : alors qu'Android lui-même est open source, le système de gestion des comptes de Google n'est pas disponible. Applications Google ne le sont pas. Mais nous pouvons faire une supposition éclairée :

Il n'est pas nécessaire de stocker les mots de passe sur l'appareil dans ce cas. Vous entrez votre mot de passe une fois, il est confirmé par le serveur et vous recevez en retour un "jeton d'authentification". Ce jeton est enregistré sur l'appareil et utilisé par celui-ci jusqu'à ce qu'il devienne invalide (soit en expirant, soit en étant révoqué), auquel cas votre mot de passe vous sera à nouveau demandé et le jeu recommencera. C'est pourquoi vous pouvez simplement "révoquer l'accès" à partir de dispositifs sans avoir à changer le mot de passe de votre compte.

Le jeton est toujours spécifique au dispositif (même raison - sinon vous ne pourriez pas révoquer l'accès d'un dispositif sans affecter les autres). Je ne peux pas dire si le jeton serait inutile à une "application racine" qui l'obtiendrait sans votre permission (les applications non racine devraient vous demander votre confirmation lors du premier accès), ou ce qu'elles pourraient faire avec un tel jeton en mode hors ligne (encore une fois, il s'agit de parties fermées) - peut-être que quelqu'un d'autre pourra nous éclairer à ce sujet.

0 votes

Merci pour votre réponse. J'espère vraiment que quelqu'un d'autre sera disposé à fournir plus de détails cette fois-ci. Il est intéressant de savoir que les applications Google ne sont pas open source.

androidalle.com

AndroidAlle est une communauté de androiders où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X