অ্যান্ড্রয়েডে জিমেইল পাসওয়ার্ড কীভাবে সংরক্ষণ করা হয় - এবং কোথায়?

Question

আমি চারপাশে দেখেছি এবং অ্যান্ড্রয়েড কীভাবে ডিভাইসে পাসওয়ার্ডগুলি পরিচালনা করতে পারে তার কোনও তথ্য পাইনি। বিশেষত জিমেইল পাসওয়ার্ড। আমি কীভাবে অ্যান্ড্রয়েড পাসওয়ার্ডগুলি এনক্রিপ্ট করে এবং সঞ্চয় করে তা জানতে চাইছি? এটি কী কী ব্যবহার করে এবং এই কীটি সংরক্ষণ করা হয়েছে এবং এটি কোন এনক্রিপশন অ্যালগরিদম ব্যবহার করে।

Comments

কেন সংরক্ষিত পাসওয়ার্ড একটি কী দিয়ে এনক্রিপ্ট করা উচিত? এর অর্থ হ'ল প্রতিবার পাসওয়ার্ডের জন্য কীটি প্রবেশ করতে হবে, আপনি কেবল পাসওয়ার্ডটি সংরক্ষণ করতে পারবেন না এবং প্রতিবার প্রবেশ করতে পারবেন না।

— ফ্লো

ওম, কীটি ডিভাইস নির্দিষ্ট হতে পারে, ফোন আইএমইআই বা অন্য কিছু থেকে পাওয়া। যার অর্থ, সফ্টওয়্যারটি প্রতিবার এটি টাইপ না করেই চাবিটি পেতে পারে can

— asudhak

কীটি পেতে ফোনে চলমান অন্য কোনও সফ্টওয়্যার পিসকে বাধা দেয়? এই পদ্ধতির সুরক্ষার কোনও অতিরিক্ত স্তর যোগ করা হয়নি

— প্রবাহ করুন

Answer 1

Gmail এর অফিসিয়াল অ্যাপ্লিকেশন আপনার ডিভাইসে পাসওয়ার্ড সংরক্ষণ করে না । আপনি যদি এই অ্যাপ্লিকেশনটি ব্যবহার করেন তবে আপনার পাসওয়ার্ডটি 100% নিরাপদ।

এটি কীভাবে এটি কাজ করে: গুগলটির অনুমোদনের সার্ভারগুলি কেবল প্রথমবারের জন্য ব্যবহার করে password প্রথম সফল প্রমাণীকরণের পরে, একটি Auth Tokenডিভাইসে ডাউনলোড করা হয় যা accounts.dbফাইলটিতে সরল পাঠ্য হিসাবে সংরক্ষণ করা হয় । পরবর্তী সমস্ত Auth Tokenলগইনের জন্য, এটি ব্যবহার করা হয়, এটি আপনার আসল পাসওয়ার্ড নয়।
সুতরাং, যদি আপনার ডিভাইসটি চুরি হয়ে যায়, তবে যে কেউ যে কেউ পেতে পারে তা হ'ল Auth Tokenযা আপনি নিজের পাসওয়ার্ড পরিবর্তন করার পরে অবৈধ হয়ে যায়। সুতরাং, আপনি চূড়ান্ত কমান্ড হতে হবে।
চূড়ান্ত সুরক্ষার জন্য, আমি আপনাকে আপনার ডিভাইসটির জন্য সক্ষম 2-Factor Authenticationএবং তৈরি করার Device Specific Passwordজন্য পরামর্শ দেব । ডিভাইস হারানোর পরে, আপনার কেবলমাত্র সেই ডিভাইসটি অক্ষম করা দরকার। এমনকি আপনার প্রধান পাসওয়ার্ড পরিবর্তন করার প্রয়োজন নেই।

দ্রষ্টব্য: আপনি যদি Gmail এর জন্য তৃতীয় পক্ষের ইমেল অ্যাপ্লিকেশন ব্যবহার করেন তবে এগুলি সত্য নয়। স্টক ইমেল অ্যাপ্লিকেশন, কে -9 মেল ইত্যাদি আইএমএপি বা পিওপি প্রোটোকলের প্রতিবার ব্যবহারকারীদের প্রমাণীকরণের জন্য মূল পাসওয়ার্ডের প্রয়োজন। সুতরাং, সরল পাসওয়ার্ডটি সার্ভারে প্রেরণের আগে ইমেল অ্যাপ্লিকেশনটিতে উপলব্ধ হওয়া দরকার। সুতরাং, বেশিরভাগ ইমেল অ্যাপ্লিকেশন পাসওয়ার্ডগুলি সরল পাঠ্যে সঞ্চয় করে (হ্যাশিং / এনক্রিপশন অকেজো কারণ হ্যাশিং / এনক্রিপশন কী স্থানীয়ভাবে সংরক্ষণ করা দরকার)। এই ক্ষেত্রে, আমি আপনাকে আপনার ডিভাইসটির জন্য সক্ষম 2-Factor Authenticationএবং তৈরি করার Device Specific Passwordজন্য পরামর্শ দেব । ডিভাইস হারানোর পরে, আপনার কেবলমাত্র সেই ডিভাইসটি অক্ষম করা দরকার।

আপডেট:
প্রযুক্তিগতভাবে, স্থানীয়ভাবে এনক্রিপশন কী / হ্যাশিং কীটি স্থানীয়ভাবে এনক্রিপশন কী / হ্যাশিং কী না রেখে স্থানীয়ভাবে পাসওয়ার্ডগুলি এনক্রিপ্ট / হ্যাশ আকারে সংরক্ষণ করা সম্ভব। এটি প্রকাশ করার জন্য @ জেফএসেবাস্তিয়ানকে ধন্যবাদ। দুর্ভাগ্যক্রমে, অ্যান্ড্রয়েডের জন্য এ জাতীয় বাস্তবায়ন এখনও উপলভ্য নয়। আইসিএস শুরু করে, অ্যান্ড্রয়েড কীচইন এপিআই সরবরাহ করে যা কোনও অ্যাপ্লিকেশন স্থানীয়ভাবে সুরক্ষিত ফর্মে একটি পাসওয়ার্ড সঞ্চয় করতে পারে। কীচেইন এপিআই ব্যবহার করে এমন অ্যাপ্লিকেশনগুলি বিরল, তবে স্টক ইমেল অ্যাপ্লিকেশন এটি ব্যবহার করে (এই তথ্যের জন্য @ ওয়াওয়াকে ধন্যবাদ)। সুতরাং, আপনার পাসওয়ার্ডটি যতক্ষণ না আপনার স্ক্রীনটি লক থাকে ততক্ষণ স্টক ইমেল অ্যাপ্লিকেশন সহ সুরক্ষিত থাকবে। মনে রাখবেন, ডিভাইস রুট করা থাকলে এবং প্রি-আইসিএস ডিভাইসে এটি উপলব্ধ না থাকলে কীচেইন নিরাপদ নয়।

Comments

@ জেএফ সেবাস্তিয়ান: এমনকি ধরে নিচ্ছেন যে আপনার তৃতীয় পক্ষের উপর আপনার পাসওয়ার্ড সংরক্ষণ করা সম্পূর্ণরূপে আপনি বিশ্বাস করছেন, সেগুলি কেবল ডিভাইসে পাসওয়ার্ড সংরক্ষণ করার চেয়ে সামান্য সুরক্ষিত ছিল। ডিভাইসটিকে এখনও ক্লাউড স্টোরেজ থেকে পাসওয়ার্ডের সরল পাঠ্যটি পুনরুদ্ধার করতে সক্ষম হওয়া প্রয়োজন এবং ডিভাইসটি এখনও স্থানীয়ভাবে পাসওয়ার্ডটি ক্যাশে করতে হবে কারণ আপনি যখন কোনও টানেলের সাথে বা অঞ্চলগুলিতে প্রবেশ করেন তখনই আপনাকে আপনার ডোংল পুনরায় সংযোগ করতে না চান want দুর্বল অভ্যর্থনা। সুরক্ষার ক্ষেত্রে সবচেয়ে খারাপ কাজটি হ'ল নিরাপত্তার একটি মিথ্যা ধারণা প্রদান করা।

— মিথ্যা রায়ান

@ জেফাসেবাস্টিয়ান: উপসংহারে, একমাত্র সত্যিকারের সুরক্ষিত উপায় প্রমাণীকরণ হ'ল গুগল জিমেইল অ্যাপ্লিকেশনটি যা করেছে, অর্থাত টুথন সহ অ-মানক প্রমাণীকরণ প্রকল্প ব্যবহার করে। এমনকি যদি কেউ আপনার লেখক টোকেনটি চুরি করতে পরিচালিত হয় তবে আপনি টোকেনকে দূর থেকে অকার্যকর করতে পারেন এবং আপনার পাসওয়ার্ড পরিবর্তন করার দরকার নেই কারণ পাসওয়ার্ডের সরলখর কখনও কখনও আপস করা হয়নি। অন্যান্য সুরক্ষার উপায় হ'ল সেশন ছাড়াই ডংগল ব্যবহার করা; ঠিক আছে, আপনি যখন জানেন যে তখন কী হয়, আপনার ব্যবহারকারীরা কেবল স্থায়ীভাবে ডাঙ্গলটি সংযুক্ত রাখবেন।

— মিথ্যা রায়ান

@ জেফাসেবাস্টিয়ান: আমি মনে করি আপনি এই বিষয়টি অনুপস্থিত। পাসওয়ার্ডটি এনক্রিপ্ট করা কেবল সরল পাঠ্যে সংরক্ষণ করার চেয়ে নিরাপদ নয়, এমনকি একটুখানিও নয়। যে কোনও আক্রমণকারী যা অ্যাকাউন্টস.ডিবি অনুলিপি করে পরিচালনা করে তারা ডিক্রিপশন কীটি পাশাপাশি অনুলিপি করতে পারে; এনক্রিপশনটি আপনাকে দেয় এমন একমাত্র জিনিসটি নিরাপত্তার একটি মিথ্যা অনুভূতি , যা কোনও সুরক্ষার চেয়ে খারাপ। হ্যাঁ, এমন সমাধান রয়েছে যা প্লেইন-পাঠ্য পাসওয়ার্ড সংরক্ষণের চেয়ে অনেক ভাল, তবে তাদের সকলেরই ইমেল প্রোটোকলটিতে পরিবর্তন প্রয়োজন, তাই আমাদের বর্তমানে যা আছে তা নিয়ে আমরা বেঁচে থাকি। অথবা Gmail এর মতো একটি মানসম্মত উপায়ে এটি সঠিকভাবে করুন।

— মিথ্যা রায়ান

@ জেএফএসবেস্টিয়ান অ্যাপল কীচেন পরিষেবা বা লিনাক্স কার্নেলের দ্বারা সরবরাহ করা কোনও নিরাপদ বিকল্প নয়। পাসওয়ার্ডটি এখনও মেমরির মধ্যে স্থির থাকে এবং যদি কীচেনটি আনলক করা থাকে এমনকি এনক্রিপ্ট করা থাকে। সুতরাং কেবল পঠনযোগ্য ডি। ডি বি ফাইল হিসাবে প্রাপ্ত হওয়া সম্ভবত সামান্য শক্ত। গুগল প্রমাণীকরণের টোকেন ব্যবহার করে সর্বোত্তম সম্ভাব্য ব্যবহারিক সমাধানটি প্রয়োগ করেছে যা ডিভাইসটির সাথে আপোস করার ক্ষেত্রে অবৈধ হতে পারে। পরবর্তী আরও সুরক্ষিত বিকল্পটি হ'ল প্রতিবার পাসওয়ার্ড প্রবেশ করানো বা কেবলমাত্র ইমেল ব্যবহার করা এড়ানো।

— ফ্লো

@ লিআরআইএন আইসিএস হিসাবে, স্টক ইমেল অ্যাপ্লিকেশনটি মূল স্টোর-টেক্সট নয়, মূল স্টোর এপিআই ব্যবহার করে। android-developers.blogspot.com/2012/03/…

— ওয়েসলি উইজার

Answer 2

অন্তর্নির্মিত ইমেল অ্যাপ্লিকেশনটির সাথে ব্যবহৃত অ্যান্ড্রয়েড পাসওয়ার্ডগুলি একটি এসকিউএল ডাটাবেসের অভ্যন্তরে সরল পাঠ্যে সংরক্ষণ করা হয়। এটি জিমেইল অ্যাপ্লিকেশনটির বিপরীতে , যা শচীন শেখরের উত্তরে বর্ণিত অথ টোকেন্সকে ব্যবহার করে ।

জেলি বিনের জন্য, ডাটাবেসের অবস্থানটি হ'ল:

/data/system/users/0/accounts.db

^{উপরের অবস্থানটি অ্যান্ড্রয়েড সংস্করণে পরিবর্তিত হয়}

অপরিশোধিত ডিভাইসে থাকা এই অবস্থানটি অপারেটিং সিস্টেম দ্বারা সুরক্ষিত এবং সুরক্ষিত।
মূলযুক্ত ডিভাইসগুলিতে, ব্যবহারকারীরা ইতিমধ্যে প্রযুক্তিগতভাবে তাদের নিজস্ব সুরক্ষা ফাটিয়ে ফেলেছেন এবং এটি সাধারণ পাঠ্য না থাকলেও এটি ডিক্রিপ্ট করার পক্ষে তুচ্ছ হবে কারণ ডিভাইসটি চালানোর জন্য এটির কোথাও কোনও কি আছে।

অ্যান্ড্রয়েড বিকাশ টিমের একজন সদস্য একটি ব্যাখ্যা পোস্ট করেছেন যা আজ অবধি প্রয়োগ হয়:

এখন, এই বিশেষ উদ্বেগ সম্মানের সাথে। স্পষ্ট করার জন্য প্রথম বিষয়টি হ'ল ইমেল অ্যাপ্লিকেশনটি চারটি প্রোটোকল সমর্থন করে - পিওপি 3, আইএমএপি, এসএমটিপি এবং এক্সচেঞ্জ অ্যাক্টিভ্যাস - এবং খুব কম, খুব সীমাবদ্ধ ব্যতিক্রম সহ, এই সমস্তগুলি পুরানো প্রোটোকল যার জন্য ক্লায়েন্টটি সার্ভারে পাসওয়ার্ডটি উপস্থাপন করে প্রতিটি সংযোগে। আপনি ডিভাইসে অ্যাকাউন্টটি যতক্ষণ ব্যবহার করতে চান ততক্ষণ এই প্রোটোকলগুলির জন্য আমাদের পাসওয়ার্ড ধরে রাখতে হবে। নতুন প্রোটোকলগুলি এটি করে না - এই কারণেই কিছু নিবন্ধ Gmail এর সাথে বিপরীত হয়েছে। আরও নতুন প্রোটোকল ক্লায়েন্টকে একবার টোকেন তৈরি করতে, টোকেন সংরক্ষণ করতে এবং পাসওয়ার্ডটি বাতিল করতে পাসওয়ার্ডটি ব্যবহার করার অনুমতি দেয়।

আমি আপনাকে মন্তব্যে লিঙ্ক করা নিবন্ধটি পর্যালোচনা করার জন্য অনুরোধ # 38 , যা ভালভাবে লেখা এবং বেশ তথ্যপূর্ণ। এটি "অস্পষ্ট" পাসওয়ার্ডগুলির মধ্যে পার্থক্য এবং তাদের সত্যিকারের "সুরক্ষিত" করার পক্ষে খুব ভাল পটভূমি সরবরাহ করে। কেবল আপনার পাসওয়ার্ডকে অস্পষ্ট করা (যেমন বেস64) বা অন্য কোথাও সঞ্চিত কী দ্বারা এটি এনক্রিপ্ট করা আপনার পাসওয়ার্ড বা আপনার ডেটাটিকে আরও সুরক্ষিত করবে না । একজন আক্রমণকারী এখনও এটি পুনরুদ্ধার করতে সক্ষম হবে।

(বিশেষত, অন্যান্য ইমেল ক্লায়েন্টদের মধ্যে কিছু ক্লিয়ারটেক্সটে পাসওয়ার্ড সংরক্ষণ না করার বিষয়ে কিছু দাবি করা হয়েছে Even এমনকি এটি সত্য যেখানে এটি পাসওয়ার্ডটি আরও সুরক্ষিত তাও নির্দেশ করে না A একটি সহজ পরীক্ষা: আপনি যদি বুট আপ করতে পারেন তবে ডিভাইস এবং এটি আপনার কনফিগার করা অ্যাকাউন্টগুলিতে ইমেল পেতে শুরু করবে, তারপরে পাসওয়ার্ডগুলি সত্যই সুরক্ষিত নয় either তারা হয় অবরুদ্ধ বা অন্য কোথাও সঞ্চিত অন্য কী দিয়ে এনক্রিপ্ট করা))

মূলত, যেহেতু এই সমস্যাটি অনেকগুলি অ্যান্ড্রয়েড ব্যবহারকারীকে বিরক্ত করছে বলে মনে হচ্ছে, আপনি স্ল্যাশডট - সমতল টেক্সটে স্ট্যান্ডার্ড অ্যান্ড্রয়েড পাসওয়ার্ড ডেটাতেও এই আলোচনাটি অনুসরণ করতে পারেন ।

Comments

কি দারুন. যা আমাকে অবাক করে দেয়। এটি সরল পাঠ্যে সংরক্ষিত আছে তা সম্পর্কে আমি অবগত ছিলাম না। মূলের কথা ভুলে যান বা রুট হয় না। আপনার ডিভাইসটি যদি চুরি হয়ে যায়, তবে কোনও সিকিউরিটি কী দিয়ে ফোনটি লক করে রাখার পরেও কোনও অসাধু ব্যক্তি সহজেই আপনার শংসাপত্রগুলি পেতে পারে। এই সত্যটি দেওয়া, আপনি কি কোনও ডিস্ক প্রশস্ত এনক্রিপশন প্রক্রিয়া সম্পর্কে সচেতন?

— asudhak

তারা যাই থাকুক না কেন, এগুলি এমন কিছু যা অ্যাকাউন্টে অ্যাক্সেস পাওয়ার জন্য ব্যবহার করা যেতে পারে। কিন্তু @SachinShekhar, accounts.dbফাইল করা হয় তুলনায় অন্যান্য অ্যাকাউন্টের দ্বারা পড়া হওয়া থেকে রক্ষা করা system।

— উইজার্ড

জুউল, আপনি আপনার উত্তরগুলিতে রেখেছিলেন এমন আমি প্রশংসা করি তবে আমি মনে করি এই উত্তরটি অত্যন্ত বিভ্রান্তিকর। আপনি যে উদ্ধৃতিটি আবার উদ্ধৃত করেছেন তা দিয়ে গেলে, Gmail অ্যাপ্লিকেশনটি পাসওয়ার্ড সংরক্ষণ করে না। --এডিট করুন সচিনশেখরের উত্তরও দেখুন।

— রোকসান

@ আসোধক যদি কোনও অ্যাপ্লিকেশন আসল পাসওয়ার্ড ব্যবহার করে তবে এটির সুরক্ষার কোনও উপায় নেই। কোনও হ্যাকার এনক্রিপশন / হ্যাশিং কী খুঁজে পাওয়ার পরে অ্যাকাউন্টগুলি.ডাবির থেকে এনকোডযুক্ত স্ট্রিংটি ডিকোড করতে পারে যা স্থানীয়ভাবে সংরক্ষণ করা প্রয়োজন কারণ ইমেল অ্যাপ্লিকেশনটিকে সার্ভারে প্রেরণের আগে মূল পাসওয়ার্ডটি সংকলন করার জন্য এই কীটির প্রয়োজন হবে।

— অ্যান্ড্রয়েড কুইসিতো

@roxan আমি কিছুই যে পাসওয়ার্ড পয়েন্ট খুঁজে পাইনি না Gmail অ্যাপ্লিকেশান দ্বারা সঞ্চিত হচ্ছে। আপনি একটি উদ্ধৃতি বা একটি লিঙ্ক প্রদান করতে পারেন?

— ফ্লো