android程序安全编码向导,Android安全编码规范

Android安全编码规范可分为Android平台上特有的(Android-Only)、C、Java三个方面的安全编码规范。

Android-Only

敏感信息不要保存到外部存储中，除非做了加密。

外部存储包括SDK卡、Android/obb目录、挂载到PC的Android设备存储。 Android4.1以前的版本外部存储文件是任意读的，Android 1外部存储文件是任意写的。Android1  到Android4.3,只有赋予了WRITE_EXTERNAL_STORAGE permission权限才能写外部存储文件。从Android4.4开始，基于目录的文件分组和权限才实现，app只能 管理/读/写应用PackageName目录下的文件。

基于以上权限控制的缺失时，外部存储区域的文件能够被其他app读写。

因此，除非事先作了加密，开发者不要把敏感数据存储在外部存储设备。因为无法保证外部存储文件的可用性、完整性、机密性。

限制应用敏感数据的content provider访问权限

在API LEVEL16及以下的版本，content provider组件的android:exported默认值为public,除非显示设置android:exported="false".

在API LEVEL17及以上版本，content provider组件的android:exported默认值为private.

在 API LEVEl 8及以下版本，即使显式设定了android:exported＝false,content provider组件依旧可以被其他应用访问。

阻止webView通过file:schema方式访问到本地敏感数据

如果加载了恶意的file:schema url来源，通过js(当setJavaScriptEnabled(true))能够攻击到目标应用：

1.WebSettings#setAllowFileAccessFromFileURLs被允许，本地任意文件能够被恶意js通过XMLHTTP访问file:schema获取到

2.WebSettings#setAllowUniversalAccessFromFileURLs被允许，任意文件(包括本地和http/https)能够被恶意js获取到

防护方法：

1.禁用file:schema(webView.getSettings().setAllowFileAccess(false);)

2.对于需要使用file:schema的，禁止file协议调用js(webView.getSettings().setJavaScriptEnabled(false);)

不要广播敏感信息

如果消息广播和接受在同一个应用中的时候，使用LocalBroadcastManager替代。这样其他应用就接收不到广播信息了，减少敏感信息泄露的风险。

不要把敏感信息打印到LOG中

在Android4.0之前，获得READ_LOGS权限的应用可以读取所有应用的LOG输出。在Android4.1起，应用只能读取自己的LOG输出。但是，如果把Android设备连接到PC上，依旧可以获取到所有应用的LOG内容。

不要对恶意的intents给出URI权限

过滤掉恶意的intents

对Services的exported进行合适的设置，根据情况做权限控制

对Activity设置exported属性为false,尤其是敏感的Activity，或者对CallingActivity进行白名单过滤

总之，对内部使用的组件，显示的设置exported属性为false

应用发布前确保android:debuggable 属性设置为false

谨慎使用addJavascriptInterface，除非设置min API LEVEL>=17

防护建议：

Android>=17,允许js被调用的函数必须以@JavascriptInterface进行注解，因此不受影响；

对于API LEVEL < 17，尽量不要使用addJavascriptInterface，如果一定要用，那么：

1)使用https协议加载URL，使用证书校验，防止访问的页面被篡改挂马

2)对加载URL做白名单过滤、完整性校验等防止访问的页面被篡改；

3)如果加载本地html,应该会HTML内置在APK中，以及对HTML页面进行完整性校验

使用Android的AES加密算法时，不要使用默认的加密模式ECB

Cipher cipher = Cipher.getInstance( "DES/ECB/NoPadding" )

加密模式:ECB、CBC、CFB、OFB等，其中ECB的安全性较弱，将会使相同的明文在不同时候会产生相同的密文，容易遭到字典攻击，安全性不够高。建议使用CBC模式。

具体可参考：

http://www.freebuf.com/news/special/56506.html

使用NDK创建文件时，限制文件权限

使用NDK创建的文件，默认权限为-rw-rw-rw-。

防护建议：

1)使用umask去掉对应的权限

2)使用open()，设置对应的权限范围

不要使用loopback来通信敏感数据

loopback，就是与localhost 的端口建立网络连接，不应该来进行敏感数据通信。因为其他应用也可以获得这些数据，造成敏感信息泄露。

建议使用Android 的IPC机制，比如HttpsURLConnection或者SSLSocket类。