SharedObject vs EncryptedLocalStore

Astraport · 26.05.2012, 02:09

Собственно решил в новом приложении использовать EncryptedLocalStore для сохранения данных о лицензировании вместо всегда ранее использовавшегося SharedObject, т. к. проще и зашифрованно вроде.

Но может я чего не знаю? Интересное свойство у EncryptedLocalStore - AIR profile support: This feature is supported on all desktop operating systems, but is not supported on mobile devices or AIR for TV devices. А на Андроидах нормально работает.

alatar · 31.05.2012, 11:18

Цитата:

А на Андроидах нормально работает.

Там же есть и сноска

Цитата:

Дополнительные сведения о поддержке API-интерфейса в разных профилях см. в разделе «Поддержка в профилях AIR».

Поддержка для мобильных платформ есть.

Цитата:

для сохранения данных о лицензировании

Для лицензирования чего? Эти данные доступны пользователю.

Цитата:

Данные в локальном зашифрованном хранилище защищаются с использованием учетных данных пользователя операционной системы. Никто другой не сможет получить доступ к данным в хранилище, не имя учетных данных этого пользователя. Однако данные не защищены от доступа со стороны приложений, запущенных активным пользователем. Таким образом, данные приложения, которые желательно сохранить в тайне от пользователей (например, ключи лицензирования или DRM), оказываются незащищенными. Локальное зашифрованное хранилище данных не подходит для такой информации. В нем можно хранить только личные данные пользователя, например пароли.

Astraport · 31.05.2012, 12:19

Цитата:

Для лицензирования чего? Эти данные доступны пользователю.

Да просто хранить там данные оплачен итем или нет. Все посекретнее чем SharedObject. Кто захочет сломать - тот сломает, хоть от обычных любителей халявы отбиться.

Меня вот только напрягает будет ли работать на всех устройствах и особо iOS. SharedObject в этом плане проверенный.

alatar · 31.05.2012, 12:27

В iOS должно работать.

Цитата:

На стационарных компьютерах для установления связи зашифрованного локального хранилища с каждым приложением и пользователем AIR использует интерфейс DPAPI в ОС Windows, KeyChain в ОС Mac OS и iOS, а также KeyRing или KWallet в ОС Linux. Для шифрования локального хранилища используется 128-битный алгоритм шифрования AES-CBC.

В ОС Android данные, сохраняемые классом EncryptedLocalStorage, не шифруются. Вместо этого защита данных обеспечивается на уровне пользователя системой безопасности ОС. ОС Android присваивает каждому приложению индивидуальный идентификатор пользователя. Приложения имеют доступ только к собственным файлам и файлам, созданным в общедоступных папках, таких как съемная карта памяти). Обратите внимание, что на «взломанных» устройствах Android приложения, выполняемые с правами суперпользователя, МОГУТ получать доступ к файлам других приложений. Таким образом, на взломанных устройствах зашифрованное локальное хранилище не обеспечивает такого высокого уровня защиты данных, как на невзломанных.

Добавлено через 1 минуту
http://help.adobe.com/ru_RU/as3/dev/...de46-7e31.html

Добавлено через 10 минут

Цитата:

Да просто хранить там данные оплачен итем или нет. Все посекретнее чем SharedObject.

Не лучше ли в зашифрованной БД хранить? Не особо сложнее чем SharedObject, но надежнее в плане ограничения доступа.

Astraport · 31.05.2012, 12:49

Цитата:

Не лучше ли в зашифрованной БД хранить? Не особо сложнее чем SharedObject, но надежнее в плане ограничения доступа.

А смысл без привязки к железу? Если злоумышленник имеет доступ к руту, то просто скопирует mydatabase.db из оплаченного приложения и будет его распространять в любом виде - или простые инструкции куда положить или даже сделает unlocker - программку распаковывающую файл БД в нужную директорию. Получаем туже самую сложность для взлома.

DaFive · 31.05.2012, 13:08

Так база шифранутая будет, а это еще и приложение надо вскрыть. Всяко больше геморроя.

Astraport · 31.05.2012, 13:30

Цитата:

Так база шифранутая будет, а это еще и приложение надо вскрыть.

Можно и не вскрывать - запаковать все вместе и в паблик.

alatar · 31.05.2012, 13:47

Для таких случаев существует авторизация. Привязать можно хоть к железу, хоть к аккаунту пользователя (что предпочтительнее и логичнее).

Astraport · 31.05.2012, 15:39

Цитата:

к аккаунту пользователя (что предпочтительнее и логичнее).

А можно подробнее? Что за аккаунт? Как быть для Андроидов?

alatar · 31.05.2012, 15:42

Это я про андроид и писал. Через ANE (благо готовых расширений сейчас хватает под обе платформы) можно собрать достаточно информации для идентификации пользователя и генерации ключа к базе.