問題タブ [android-account]

次の問題がバグであるかどうかを知りたいのですが

• 一部の特定のアプリでは オープンソースのアプリもあります
• Android AOSP では、
• または、私の携帯電話の製造元による AOSP への変更

携帯電話は、Android 6.0、最新の Lenovo パッチを適用した Lenovo C2 (K10a40) です。

フルディスク暗号化 (FDE) が有効になっています。

32GB sdcard は、Android の Adoptable Storage オプション ( https://source.android.com/devices/storage/adoptable ) を使用して、内部ストレージとしてフォーマットされます。

「内部ストレージ」sdcard への移動を許可するすべてのアプリは、sdcard に移動されます。

いくつかのアプリ、

• Nextcloud 同期クライアント
• XING アプリ (ドイツのソーシャル ネットワーク)
• Onleihe (ドイツ公共図書館の電子メディア クライアント)

Androidアカウントに保存されているすべてのログインなどの資格情報が、電話の再起動後に削除されるという、100％再現可能な（そして非常に迷惑な）動作があります。

これらのアプリが内部としてフォーマットされた SD カードではなく、「実際の」内部ストレージに保存されている場合、このバグは発生しません。もちろん、これらのアプリのように、これは受け入れられるソリューションではありません。Nextcloud と Onleihe は、大量のデータをローカルに保存しています。

私はすでに Nextcloud のバグをオープンしました ( https://github.com/nextcloud/android/issues/1814 ) が、今のところ解決策が見えていません。

開発者属性「android:installLocation」によって設定されることについて、Android ドキュメントで見つけました。通常、「内部ストレージ」モードでアプリを SD カードに移動できるようにする必要がある場合は、これを設定する必要があります。

Android 開発者が Android アカウントを作成する際に特に気を付けなければならないことはありますか?これら 3 つのアプリに設定するのを忘れている可能性があります。SD カードに保存されたアプリの Android アカウントとのアカウント処理に違いはありますか?

前もってありがとう、マイケル

私は現在 Android アプリケーションに取り組んでおり、ユーザーを自動的に認証するために、ユーザー名やパスワードなどの機密情報を保存する選択肢は他にありません。

私が使用しているサーバーはトークンやこの種のものを管理していないため、他の選択肢はありません。

この件に関する多くのドキュメントや記事を読んでいますが、これらの機密情報をどのように保存すればよいか判断できません。

私には3つの可能性があります：

1. Android AccountManager システムの使用
2. Android Keystore システムの使用
3. 新しい Jetpack セキュリティ コンポーネントの使用

ドキュメントにあるように、AccountManager システムは最適な方法ではありません。

AccountManager は暗号化サービスやキーチェーンではないことを理解することが重要です。アカウント資格情報は、渡されたとおりにプレーン テキストで保存されます。ほとんどのデバイスでは、ルートのみがアクセスできるデータベースに保存されるため、これは特に問題ではありません。ただし、ルート化されたデバイスでは、デバイスへの adb アクセス権を持つすべてのユーザーが資格情報を読み取ることができます。

したがって、キーストア システムまたは新しいジェットパック セキュリティ コンポーネントを使用して、これらの機密情報を保存したいと考えています。しかし、正直なところ、私はセキュリティの専門家ではないので、どちらの方法がより安全かはわかりません。

ドキュメントによると、新しいジェットパック セキュリティ コンポーネントはとても使いやすいようです。

この新しいコンポーネントは、キーストア システムよりも安全性が低いと思いますか?

よろしくお願いいたします。