亚马逊网络服务凭证可能会暴露

Question

最近谷歌向我的一个应用程序提供了警报

您的 Amazon Web Services 凭证可能会暴露。暴露您的凭证可能会导致未经授权访问您的 AWS 账户，其中可能包括相关的高额费用，以及可能未经授权访问您的数据和用户数据。

在应用程序中，我使用的是亚马逊产品广告 API来获取和显示与某些产品相关的信息。

我正在使用SignedRequestsHelper提供的类来请求数据。

我需要知道如何在Android应用程序中保护我的 AWS 密钥。

谢谢。

Answer 1

我需要知道如何保护 Android 应用程序中的 AWS 密钥。

一旦凭证到达客户端，您就可以认为它们已被泄露。在应用程序中存储凭据通常是错误的想法。

您没有提供其他要求或限制，因此在不做任何假设的情况下，我只能提出一些想法

• 仅使用具有必要权限的凭据（例如读取 s3 文件、dynamodb 记录...）
• 实施 API（由应用程序调用）并将 aws 凭证存储在服务器上。那么有一个问题如何可靠地验证/授权移动应用程序
• 使用 aws cognito 根据自定义用户池或社交登录获取临时有限的 aws 凭证