SQLite Datenbank in App integrieren: Vor Auslesen schützbar?

[Klinger]

Hallo liebes Forum,
ich plane in den nächsten Monaten eine App zu schreiben, die eine Datenbank enthält, welche rund 15.000 Einträge mit 8 bis 10 Spalten hat. Ich weiß, daß ich das mit sqlLite machen kann, aber ich weiß auch, daß man Android-Apps dekompilieren kann. Ich möchte gerne verhindern, daß diese Datenbank einfach ausgelesen werden kann. Sie ist das Ergebnis von sehr viel Arbeit.
Geht das?

 

[Joose]

Nein wenn du diese SQLite Datenbankdatei mit dieser App weitergibst dann befindet sich diese natürlich auf dem Gerät und kann ausgelesen werden.
Vielleicht ist es möglich diese Datei zu verschlüsseln, was aber nicht heißt das niemand sie entschlüsseln könnte!

Sichere wäre es wenn sich deine App über einen Service (zum Beispiel ein RESTService) die Daten holt.

 

[Thallius]

Sichere wäre es wenn sich deine App über einen Service (zum Beispiel ein RESTService) die Daten holt.

Dann funktioniert die App aber nur online was ich für keine schöne Lösung halte.

Es gibt eine Encryption Extension für Sqlite. Habe ich selber noch nicht ausprobiert aber kannst dir ja mal ansehen.

Gruß

Claus

 

[stg]

Irgendwie kann die Anwendung die Daten aber ja doch auslesen, entschlüsseln und dann damit arbeiten. Ich kann dann vermutlich auch mit einfachen Mitteln ein paar Abfragen dazwischenklatschen, die einfach den gesamten Bestand auslesen und mir diesen dann irgendwo als Klartext ausgeben lassen. Wer an die Daten will, kommt da mit nur wenig mehr Aufwand also auch schnell dran.

 

[Thallius]

Irgendwie kann die Anwendung die Daten aber ja doch auslesen, entschlüsseln und dann damit arbeiten. Ich kann dann vermutlich auch mit einfachen Mitteln ein paar Abfragen dazwischenklatschen, die einfach den gesamten Bestand auslesen und mir diesen dann irgendwo als Klartext ausgeben lassen. Wer an die Daten will, kommt da mit nur wenig mehr Aufwand also auch schnell dran.

Kommt er aber auch wenn die online liegen. Dann schau ich halt nach was für einen Webrequest ich machen muss damit ich sie bekommen. Sobald ich Daten in einer App einem User zur Verfügung stelle sind sie halt öffentlich. Da ist so oder so nichts dran zu ändern.

Gruß

Claus

 

[stg]

Klar, das ist richtig. Man hat aber eventuell die Möglichkeit seine API so zu designen, dass Berechnungen schon zentral auf dem Server erfolgen und nur nicht-schützenswerte Ergebnisse ausgeliefert werden. Aber wir wissen ja ohnehin mal wieder zu wenig um das Problem, um wirklich Aussagen treffen zu können

 

[JuKu]

Man kann die SQLite Datenbank verschlüsseln, das habe ich bereits selbst schon einmal gemacht.
Das ganze ist aber nicht so einfach, wie es sich anhört, da Android meines Wissens von Haus aus keinen Support für SQLite Encryption bietet --> man muss das selbst kompilieren und mit (glaube sogar als native) in die App packen.
Allerdings kann man eine verschlüsselte Datenbank nicht mehr so schnell durchsuchen wie eine unverschlüsselte und die Performance allgemein ist nicht so gut.

Dazu kommt, dass deine App den Key zum Verschlüsseln braucht --> ein Hacker kann diesen auslesen und wieder entschlüsseln.
Diese Encryption schützt also nur davor, dass ein Hacker die Datenbank Datei direkt aus seiner SD Karte (oder wo auch immer, bei gerooteten Handys kann man auch den internen Speicher sehr leicht auslesen) auslesen kann, aber nicht vor der Dekompilierung der App, weil das Passwort zum Entschlüsseln irgendwo stehen muss.