AndroidアプリにおけるSQLiteとSharedPreferencesファイルのセキュリティ：徹底解説

2024-05-23

AndroidにおけるSQLiteとSharedPreferencesファイルのセキュリティ

SQLiteデータベース

SQLiteは軽量で使いやすいデータベースですが、デフォルトでは暗号化されていません。そのため、データベースファイルに直接アクセスできる悪意のあるアプリやユーザーであれば、データを閲覧・改ざんできてしまう可能性があります。

SQLiteデータベースのセキュリティを強化するには、以下の対策が有効です。

暗号化:
- データベースファイル全体を暗号化する方法と、個々のデータを暗号化する方法があります。
- 全体暗号化はSQLiteデータベースライブラリ「SQLCipher」などを利用できますが、パフォーマンスが低下する可能性があります。
- 個別暗号化は、機密性の高いデータのみを暗号化する効率的な方法です。
アクセス制御:
- アプリごとにデータベースファイルへのアクセス権限を設定することで、不正アクセスを防ぎます。
SQLiteバージョンの更新:
- 古いバージョンのSQLiteには脆弱性が存在する可能性があります。
- 最新バージョンへのアップデートを常に確認し、脆弱性を修正するようにしましょう。

SharedPreferencesは、少量のデータを保存するのに適したファイル形式です。しかし、こちらもデフォルトでは暗号化されていません。そのため、他のアプリやユーザーがSharedPreferencesファイルの内容を閲覧・改ざんできてしまう可能性があります。

SharedPreferencesファイルのセキュリティを強化するには、以下の対策が有効です。

暗号化:
- SharedPreferencesファイルを暗号化するには、KeyStoreを利用する方法があります。
- KeyStoreは、Androidデバイス内に安全に保存された暗号鍵を管理する仕組みです。

その他の注意点

データを端末内に保存する場合は、上記のような対策を講じてセキュリティを強化する必要がありますが、完全なセキュリティを保証することはできません。
重要なデータは、クラウドストレージサービスなどを利用して保存することを検討しましょう。
アプリ開発においては、常に最新のセキュリティ情報に注意し、適切な対策を講じることが重要です。

SQLiteデータベースの暗号化

1 ライブラリの導入

プロジェクトにSQLCipherライブラリを導入するには、以下の手順が必要です。

Gradleファイルに以下の依存関係を追加します。

dependencies {
    ...
    implementation 'net.sqlcipher:sqlcipher:4.6.3'
}

アプリのbuild.gradle(Module: app)ファイルに以下の設定を追加します。

android {
    ...
    externalNativeBuild {
        cmake {
            cppFlags "-DSQLCIPHER_ENABLE_OPENSSL_SUPPORT=1"
        }
    }
}

2 データベースファイルの暗号化

データベースファイルを作成・暗号化するには、以下のコードを使用できます。

import net.sqlcipher.database.SQLiteDatabase;
import net.sqlcipher.database.SupportSQLiteDatabase;

public class DatabaseManager {

    private static final String DB_NAME = "my_database.db";
    private static final String PASSWORD = "my_password";

    private static SQLiteDatabase database;

    public static SQLiteDatabase getDatabase(Context context) {
        if (database == null) {
            database = openOrCreateDatabase(context);
        }
        return database;
    }

    private static SQLiteDatabase openOrCreateDatabase(Context context) {
        File dbFile = context.getDatabasePath(DB_NAME);
        SQLiteDatabase database = SQLiteDatabase.openOrCreateDatabase(dbFile, PASSWORD, null);
        return database;
    }
}

3 データの暗号化/復号化

データベースに格納するデータは、暗号化してから保存する必要があります。

import net.sqlcipher.database.SQLiteDatabase;
import net.sqlcipher.database.Cursor;

public class DataManager {

    private static final String TABLE_NAME = "my_table";
    private static final String COLUMN_NAME = "my_column";

    public static void saveData(String data) {
        SQLiteDatabase database = DatabaseManager.getDatabase(context);
        String encryptedData = encrypt(data);

        ContentValues values = new ContentValues();
        values.put(COLUMN_NAME, encryptedData);

        database.insert(TABLE_NAME, null, values);
    }

    public static String loadData() {
        SQLiteDatabase database = DatabaseManager.getDatabase(context);
        Cursor cursor = database.query(TABLE_NAME, new String[]{COLUMN_NAME}, null, null, null, null, null);

        if (cursor.moveToFirst()) {
            String encryptedData = cursor.getString(0);
            return decrypt(encryptedData);
        } else {
            return null;
        }
    }

    private static String encrypt(String data) {
        // 暗号化処理
        return encryptedData;
    }

    private static String decrypt(String encryptedData) {
        // 復号化処理
        return decryptedData;
    }
}

KeyStoreを取得するには、以下のコードを使用できます。

import android.content.Context;
import android.os.Build;
import android.security.keystore.KeyGenParameterSpec;
import android.security.keystore.KeyInfo;
import android.security.keystore.KeyManagementException;
import android.security.keystore.KeyStore;
import android.security.keystore.NoSuchAlgorithmException;
import android.security.keystore.UnrecoverableKeyException;
import java.security.InvalidAlgorithmParameterException;
import java.security.InvalidKeyException;
import java.security.KeyStoreException;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import javax.crypto.Cipher;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.SecretKeySpec;

public class KeyStoreManager {

    private static final String KEYSTORE_NAME = "AndroidKeyStore";
    private static final String ALIAS = "my_alias";

    private static KeyStore keyStore;

    public static KeyStore getKeyStore(Context context) throws KeyStoreException {
        if (keyStore == null) {
            keyStore = KeyStore.getInstance(KEYSTORE_NAME);
            keyStore.load(null);
        }
        return keyStore;
    }

    public static SecretKeySpec getSecretKey(

AndroidにおけるSQLiteとSharedPreferencesファイルのセキュリティ強化方法：代替手段と詳細情報

1 軽量暗号化ライブラリ

SQLCipher以外にも、軽量で使いやすい暗号化ライブラリがいくつか存在します。

Room Persistence Library:Android向けのライブラリで、SQLiteデータベースの操作を簡素化し、暗号化機能も提供します。
Objection ORM:オブジェクト指向の開発に適したライブラリで、暗号化を含むデータベース操作を支援します。
Stetho:Chromeブラウザ拡張機能と連携して、SQLiteデータベースを検査・デバッグできるツールです。暗号化されたデータベースも検査可能です。

データベースアクセス制御を強化する方法は他にもあります。