亚马逊简单数据库 - 应用程序 - 数据保护

Question

我一直在使用AWS（亚马逊网络服务），特别是simpleDB，用于几个智能手机应用，使用它们的iOS / Android客户端库。

到目前为止，数据非常无害，所以我没有过多担心数据保护问题。

我的下一个应用程序项目将需要一个“用户”表/域，其中包含用户名和密码。

我担心的是，如果有人对该应用程序的Android Java版本进行反向工程，那么就很容易获取所有simpleDB数据，包括所有密码。

基本的TVM操作（Token Vending Machine，其中临时令牌替换了不在代码中的AWS凭据）似乎不能保护上述情况，因此很希望听到大家认为在使用AWS进行登录部分时推荐的方法，而不会完全不安全。

将密码表存储在其他地方/以不同方式访问？

欢迎任何评论，非常感谢。

- MikaelW

Answer 1

我可以向您提供两种方法来保护您的应用程序 -

第一种方法：

您可以将AWS秘钥保存在应用程序内的文件中，该文件将使用私钥进行加密。 在启动时，您的代码将使用公钥读取该文件，并且只能获取AWS秘钥。 请记住以下几点 -

1. 您的代码必须经过混淆处理。
2. 您的秘钥必须以加密形式保存在文件中，以获得双重保护。
3. 您的文件必须是数字签名的。

第二种方法：

您还可以创建自己的网站，用于管理用户身份验证。 如果用户通过认证，则它将使用私钥对AWS秘钥进行加密，并在响应中将其发送到应用程序，您的应用程序将在使用公钥解密后使用该AWS秘钥。请记住以下几点 -

1. 您的响应必须以加密形式返回。
2. 您的网站必须安全，并且必须在HTTPS上运行。
3. 您的代码必须经过混淆处理。

- Ashish Pancholi

---

谢谢！我会尝试第一种方法。 - MikaelW