我已经“保护”了我的安卓应用和提供金融交易服务的TLS服务器之间的通信,目前该服务正在开发中。安全凭据存储在包含在Android apk中的BKS密钥库中。密钥库的密码在应用程序源代码中以明文形式显示。我担心如果有人对应用程序进行反向工程,他们将能够冒充另一个用户并危及服务的安全性。我想知道是否存在实现上的问题,如果其他人也有这种担忧,如何最好地防止这种可能性。
我相信Diffie-Hellman密钥交换就是我正在寻找的。我不想使用涉及用户的复杂过程重新实现自己的DH版本。
目前正在为一家处理公司编程-
他们有一套交易应用程序或销售点应用程序的规则和法规。
这些规则在网上列出,被称为PCI验证,必须提供一定量的安全性,否则将面临Visa,inc或其他许多公司的诉讼。
关于您的问题,它不遵循PCI合规性,因为这是一个安全问题。
请阅读PCI合规性,以便完全理解安全性,因为妥协持卡人数据并不好。
:)