[Android] 보안키패드 만드는 방법 - 개인적인 생각임

📌보안키패드 목적

• EditText의 String 보안 취약점 개선
• 보안키패드를 사용하여 사용자의 패스워드와 같은 중요정보를 EditText에 입력하는 것이 아닌 보안키패드를 통하여 입력하여 메모리 노출을 막고자 한다.
• 자바/안드로이드 String, EditText관련 App보안취약점은 아래링크 참고
• https://sunny-develop.tistory.com/19

[Android] String 메모리 노출 보안취약점-App보안, 자바 String취약점

 

📌방법

• 일반적으로 Pin인증에 사용되는 0~9까지의 숫자 보안키패트를 우선 만들어보자
• 계산기를 만들때 처럼, 한가지 숫자마다 버튼으로 구성
• 만약 1 버튼 클릭 이벤트 시, 내부 char[]에 1을 넣는 식으로 할 것
• 입력값은 내부에서 char[]로 관리하고 사용자에게 보여지는 입력 값은 ●●●●● 이런식으로 할 것
• 이렇게 처리하고 char[]를 Array.fill()을 통하여 0x20으로 초기화 시킨다면, 메모리에 노출되는 값은 EditText에 씌여졌던 ●●●●●일 것임
• 실제로 판매하는 기업의 제품들은 실시간 암호화까지해서 서버랑 주고받고 하는 것으로 알고있지만..그냥 개인적으로 간단하게 만들어 보고자 한다!
• 실제로 버튼 몇개 클릭 시 char[]에 넣고, 0x20초기화 시 메모리 덤프에 남지 않는 것을 확인하였다!
• 개인프로젝트로 간단히 할 예정으로, 구현코드는 없지만 위 방법으로도 무슨 말인지 알것으로 판단된다!!

 

📌메모리 덤프 간단하게 확인하는 방법

• 본인 앱이라면 아주 간단하게 확인가능하다.
• 안드로이드 스튜디오 Logcat있는 탭쪽에 Profiler 탭으로 간 상태로 Run을 하면 아래와같이 Session이 생긴다.

• 메모리에 값이 남는지 확인하고 싶은 부분까지 앱 시현을 한 후, 위 사진에서 MEMORY부분을 클릭하면 아래와 같이 뜬다.
• Capture heap dump 선택 후 Record 클릭

• 그럼 Heap Dump가 생기는데 커서를 갖다대면 저장버튼이 보이니 다운받고 다운한 경로 들어가서 확인하면 된다!