【Android平台安全方案】の ＃00-请不要在外部存储（SD卡）加密存储的敏感信息

本文翻译自https://www.securecoding.cert.org/confluence/display/java/DRD00-J.+Do+not+store+sensitive+information+on+external+storage+%28SD+card%29+unless+encrypted+first，有增删改。

Android提供了几种保存持久化应用数据的选择，当中之中的一个就是外部存储（/sdcard, /mnt/sdcard）。外部存储包含设备内部的微型或标准大小的SD卡。挂载到PC上的Android设备存储卡以及Android/obb文件夹。

Android4.1之前的版本号。存放在外部存储的文件是world-readable（可以被不论什么用户读取的）和world-writable（可以被不论什么用户写入）。从Android4.1到Android4.3，一个app想要写入外部存储的随意文件时，仅仅需在AndroidManifest文件里声明WRITE_EXTERNAL_STORAGE权限。但从Android4.4開始，引入了基于文件夹结构创建分组和文件模式。这使得一个app在外部存储中的仅仅能在以自己包名命名的文件夹下才具有文件的读写权限。

非系统级的app仅仅同意在Android/data/<package-name>/文件夹下操作。因此。每一个app的文件读写权限被独立开来。不能互相訪问。

上面描写叙述的訪问权限限制的不足。导致写入到外部存储的文件可能存在被同一设备上不同的app改动和读取的风险（Android4.4之前版本号）。

Android API指南［Android Guild 2013］关于Storage Options给出了例如以下的警告信息：假设用户将外部存储挂载到PC上或者直接移除了，会导致外部存储不可用，并且没有安全措施保证存放在外部存储上的文件。全部的应用都能够读写存放在外部存储的文件。并且用户能够任意删除它。

开发人员不应该在外部存储中存放未加密的敏感信息，由于外部存储的文件不能保证可用性，完整性和保密性。

［不符合安全要求的代码演示样例］

以下的代码在外部存储中创建一个文件，并保存了敏感的信息。

private String filename = "myfile"
 
private String string = "sensitive data such as credit card number"
FileOutputStream fos = null;
 
try {
  file file = new File(getExternalFilesDir(TARGET_TYPE), filename);
  fos = new FileOutputStream(file, false);
  fos.write(string.getBytes());
} catch (FileNotFoundException e) {
  // handle FileNotFoundException
} catch (IOException e) {
  // handle IOException
} finally {
  if (fos != null) {
    try {
    fos.close();
    } catch (IOException e) {
    }
  }
}

［概念验证］

一个应用一般存放在外部存储的文件文件夹结构例如以下所看到的：

/sdcard/Android/data/com.company.app/files/save/appdata/save_appdata

［符合安全要求的解决方式＃1 将文件保存到内部存储中］

以下的代码使用openFileOutput()方法在应用的data文件夹中创建“myfile”文件，并将訪问权限设置为MODE_PRIVATE。这样保证其它app訪问不了该文件。

private String filename = "myfile"
private String string = "sensitive data such as credit card number"
FileOutputStream fos = null;
 
try {
   fos = openFileOutput(filename, Context.MODE_PRIVATE);
   fos.write(string.getBytes());
   fos.close();
} catch (FileNotFoundException e) {
  // handle FileNotFoundException
} catch (IOException e) {
  // handle IOException
} finally {
  if (fos != null) {
    try {
      fos.close();
    } catch (IOException e) {
    }
  }
}

［符合安全要求的解决方式＃2］

在将文件保存到外部存储之前。先对文件内容进行加密。