如何解决Android应用中AWS凭证泄露及访问密钥传递问题

核心原则：绝对避免硬编码凭证 #

硬编码Access Key ID和Secret Access Key到Android应用中是高危行为，攻击者可通过反编译轻易获取，导致AWS资源被滥用。以下是安全的实现方案：

1. 优先使用AWS Cognito身份池获取临时凭证 #

这是AWS官方推荐的移动端凭证管理方案，通过身份池为应用用户（匿名或已认证）生成短期、权限受限的临时凭证，无需在应用中存储长期密钥。

实现步骤（Kotlin）： #

import aws.sdk.kotlin.services.rekognition.RekognitionClient
import aws.sdk.kotlin.services.cognitoidentity.CognitoIdentityClient
import aws.sdk.kotlin.services.cognitoidentity.model.GetIdRequest
import aws.sdk.kotlin.services.cognitoidentity.model.GetCredentialsForIdentityRequest
import aws.sdk.kotlin.auth.credentials.StaticCredentialsProvider

// 初始化Cognito Identity客户端
val cognitoClient = CognitoIdentityClient { 
    region = "us-east-1" // 替换为你的AWS区域
}

// 获取身份ID（基于身份池）
val identityId = runCatching {
    val getIdReq = GetIdRequest {
        identityPoolId = "us-east-1:xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" // 替换为你的身份池ID
    }
    cognitoClient.getId(getIdReq).identityId
}.getOrNull() ?: error("无法获取Cognito身份ID")

// 获取临时访问凭证
val tempCredentials = runCatching {
    val getCredsReq = GetCredentialsForIdentityRequest {
        identityId = identityId
    }
    cognitoClient.getCredentialsForIdentity(getCredsReq).credentials
}.getOrNull() ?: error("无法获取临时凭证")

// 用临时凭证初始化Rekognition客户端
val rekognitionClient = RekognitionClient {
    region = "us-east-1" // 与身份池区域一致
    credentialsProvider = StaticCredentialsProvider {
        accessKeyId = tempCredentials.accessKeyId
        secretAccessKey = tempCredentials.secretAccessKey
        sessionToken = tempCredentials.sessionToken
    }
}

关键注意点： #

• 为身份池关联的IAM角色配置最小权限：仅授予Rekognition所需的操作（如rekognition:DetectLabels等），避免过度授权。
• 临时凭证默认有效期为1小时，需在过期前重新获取，可通过监听凭证过期事件实现自动刷新。

2. 若必须存储长期密钥（不推荐），使用安全存储 #

如果业务场景特殊需要存储长期密钥，绝对不能使用SharedPreferences、明文文件或strings.xml，必须使用Android系统级安全存储：

• 使用Jetpack Security库加密存储密钥，基于Android Keystore实现硬件级加密。
• 直接调用Android Keystore API生成存储密钥，确保密钥永远不会暴露到应用进程内存之外。

示例（Jetpack Security存储）： #

import androidx.security.crypto.EncryptedSharedPreferences
import androidx.security.crypto.MasterKey

// 创建MasterKey（基于Keystore）
val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

// 创建加密的SharedPreferences
val encryptedPrefs = EncryptedSharedPreferences.create(
    context,
    "aws_secure_prefs",
    masterKey,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

// 存储密钥
encryptedPrefs.edit().putString("aws_access_key", "你的访问密钥").apply()

// 获取密钥
val accessKey = encryptedPrefs.getString("aws_access_key", null)

3. 额外安全加固措施 #

• 启用应用混淆（ProGuard/R8），增加反编译难度。
• 禁止调试模式下发布应用，避免攻击者通过调试工具获取内存中的凭证。
• 定期轮换IAM角色和凭证，降低泄露后的影响范围。

内容的提问来源于stack exchange，提问作者user352290