Insecure Data Storage - Part 2

Unencrypted SQLite Database Storage Security Risk

Pendahuluan

Aplikasi Android bisa menggunakan SQLite untuk menyimpan data secara lokal sebagai Relation Database Management System (RDBMS). Database tersebut biasanya berisi detail user, log transaksi, atau lainnya tergantung developer.

File database SQLite secara default disimpan di dalam direktori aplikasi sanbox, yaitu: /data/data/AppPackageName/databases/. Bisa jadi developer menyimpan file tersebut di luar direktori databases, tetapi masih di dalam direktori sanbox.

Untuk mengidentifikasi file SQLite Anda harus mencari beberapa ekstensi umum seperti .sqlite, .db, atau terkadang tanpa ekstensi. Untuk memastikannya kita bisa menggunakan perintah file pada shell.

Penjelasan

Tampilan Soal Insecure Data Storage - Part 2

Bagian aplikasi yang akan kita bahas kali ini memiliki fitur untuk menyimpan credentials milik user. Dengan melakukan reverse engineering lalu menganalisis source code, kita akan mencari tahu bagaimana credentials tersebut disimpan.

Melihat Source Code

InsecureDataStorage2Activity.class

package jakhar.aseem.diva;

import android.content.Context;
import android.database.sqlite.SQLiteDatabase;
import android.os.Bundle;
import android.support.v7.app.AppCompatActivity;
import android.util.Log;
import android.view.View;
import android.widget.EditText;
import android.widget.Toast;

public class InsecureDataStorage2Activity extends AppCompatActivity {
  private SQLiteDatabase mDB;
  
  protected void onCreate(Bundle paramBundle) {
    super.onCreate(paramBundle);
    try {
      this.mDB = openOrCreateDatabase("ids2", 0, null);
      this.mDB.execSQL("CREATE TABLE IF NOT EXISTS myuser(user VARCHAR, password VARCHAR);");
    } catch (Exception exception) {
      Log.d("Diva", "Error occurred while creating database: " + exception.getMessage());
    } 
    setContentView(2130968612);
  }
  
  public void saveCredentials(View paramView) {
    EditText editText1 = (EditText)findViewById(2131493003);
    EditText editText2 = (EditText)findViewById(2131493004);
    try {
      SQLiteDatabase sQLiteDatabase = this.mDB;
      StringBuilder stringBuilder = new StringBuilder();
      this();
      sQLiteDatabase.execSQL(stringBuilder.append("INSERT INTO myuser VALUES ('").append(editText1.getText().toString()).append("', '").append(editText2.getText().toString()).append("');").toString());
      this.mDB.close();
    } catch (Exception exception) {
      Log.d("Diva", "Error occurred while inserting into database: " + exception.getMessage());
    } 
    Toast.makeText((Context)this, "3rd party credentials saved successfully!", 0).show();
  }
}

Setelah menganalisa source code di atas, terlihat bahwa credentials yang diinputkan user disimpan secara lokal menggunakan database SQLite. File database ini diberi nama "ids2".

Membaca Database SQLite

Masuk ke direktori databases, lalu jalankan perintah berikut untuk membaca file database SQLite:

sqlite3 ids2 # membuka database ids2 dengan SQLite
.database # melihat database yang digunakan
.tables # melihat tables yang tersedia
SELECT * FROM myuser; # melihat semua record dari table myuser
.quit # keluar dari SQLite

Kita telah berhasil mengakses file database dan mendapatkan credentials milik user. Ini membuktikan bahwa aplikasi ini tidak menyimpan credentials dengan aman. Password disimpan secara plaintext, bahkan tidak adanya pengamanan dalam mengakses file database SQLite.

Kesimpulan

Meskipun file database SQLite dilindungi oleh sandbox, namun ada beberapa catch yang bisa membatalkan mekanisme perlindungan tersebut seperti yang dijelaskan sebelumnya.

Selain itu, tidak ada pengamanan untuk file database SQLite seperti penggunaan password, sehingga kita bisa dengan mudah membuka database tersebut.

Menyadari fakta-fakta di atas, terdapat beberapa rekomendasi yang bisa developer lakukan, diantaranya:

• Tidak menyimpan informasi sensitif apa pun secara lokal.

• Lakukan salting + hasing terlebih dahulu pada data sensitif sebelum disimpan.

• Menggunakan Android Keystore bisa menjadi pilihan untuk menyimpan kunci enkripsi dengan aman bahkan pada rooted device.
• Selalu gunakan autentikasi dalam pengaksesan database.