[Android][セキュリティ]AccountManagerのソースコードを読む会ツイートまとめ

ENDO Yasuyuki @eyasuyuki

#AndroidSec セキュリティ部勉強会 AccountManagerのソースコードを読む会を15分遅れで開始します (live at http://ustre.am/dSRL)

Qooh0 @Qooh0

#AndroidSec が始まった。つか、全員集合してるっ！すごい！！雪なのに…。会場、分かりにくいのに…。

Qooh0 @Qooh0

#AndroidSec Authenticator を解析してみた ( http://bit.ly/dPRcoz ) 公式ドキュメント ( http://bit.ly/5wH6xM )

ikdk @ikdk

#AndroidSec AccountManager http://bit.ly/hlRbxR

Qooh0 @Qooh0

#AndroidSec AccountsManager ( http://bit.ly/hFmNmu )。 Instance の取得 ( http://bit.ly/fhz56t )。

Qooh0 @Qooh0

#AndroidSec AIDL インターフェースの定義。AIDL -> Java のクラスが自動生成される。プロセス間通信のための機能。あと、無線LAN 繋がるように設定が抜けてた…

おおた @ota42y

Android上でのプロセス間通信はAIDLを使うらしい。 #androidSec

sugimotoak @sugimotoak

IHogeHoge.aidlがインターフェース #AndroidSec

Qooh0 @Qooh0

#AndroidSec あー、みうしなた。 GetAccountsByType(...) 引数に comgoogle??? を渡すと、グーグルに関するアカウントが返ってくるっぽい

h12o @h12o

#AndroidSec getAccountsByType: その端末で管理しているすべてのアカウントが返ってくる。やっと追いついた。

Qooh0 @Qooh0

#AndroidSec Features : Bit 列で何かが戻ってくるかもしれないが、よく分からない。Password を API から取得することは出来ないようにはなっている。

h12o @h12o

#AndroidSec パスワードはAPIからは取得できない、らしい。AccountManager.getAuthToken()でトークンを拾ってくる、のかな。

おおた @ota42y

getAccounts()で帰ってくるAccountクラスにはアカウント名だけでパスワードは保存されない。getAuthTokenを使って認証するみたい？ #AndroidSec

Qooh0 @Qooh0

#AndroidSec 実際には、GetAuthToken()?? があって、サービスごとのサーバーから認証トークンを取得する。 そのトークンを使用して、各種サーバーにアクセスする。安全なAndroid開発の鉄則(仮) を執筆中。そこに記載がある。

h12o @h12o

#AndroidSec Androidの安全なWeb開発の鉄則。端末固有情報はユーザ認証に使うな。

h12o @h12o

#AndroidSec minSdkVersionは4にしよう。

Qooh0 @Qooh0

#AndroidSec 端末固有情報をユーザー認証に使うな！という話、なう☆

おおた @ota42y

端末固有情報は秘密情報ではないので認証に使うべきではない。ランダムに生成して誰かの情報に合致した場合こうなる。 http://ow.ly/3UmaW かんたんログイン方式で漏洩事故が発生 #AndroidSec

h12o @h12o

#AndroidSec Android端末はGoogleアカウントに結びついている。activationしない端末にはANDROID_IDがない。

h12o @h12o

#AndroidSec android.telephony.TelephonyManagerでandroid.permission.READ_PHONE_STATEが降りている場合、IMEI,IMSI,電話番号がとれる。

h12o @h12o

#AndroidSec android.provider.Setting.Secure Android IdはgetString(ANDROID_ID)でとれる。

Qooh0 @Qooh0

#AndroidSec Gmail アカウント認証を使うべき。なぜなら、Android 端末は Gmail アカウントによりアクティベーションされるし、認証が容易。Google サーバーに以上してしまえば、パスワードの管理の必要がない。ただし、トークンの管理を！

h12o @h12o

#AndroidSec Googleアカウント認証を使うべき理由3(1,2は省略): WebサイトはGoogleサーバに移譲して外部認証を行うので、パスワードを管理する必要がない。

Qooh0 @Qooh0

#AndroidSec パーミッション manifest.xml に自分で使うパーミッションを自力で書く必要がある。Accounts では、GET_ACCOUNTS や USE_CREDENTIALS を書く必要がある。

h12o @h12o

#AndroidSec AccountManagerによるトークン認証の話。取得と廃棄は話してる。トークンの生成?とライフサイクルはどうなってるのか? 話すのか?