¿Qué tan seguras son mis contraseñas en el servicio postventa?

Información general

Como señaló The Andro Nerd en su respuesta , la mayoría de las aplicaciones almacenan contraseñas (y otra información confidencial) cifradas. Algunos incluso no los almacenan en absoluto (utilizan una especie de "tokens", como está disponible con la mayoría de las aplicaciones de Google, o no almacenan nada de eso).

Desafortunadamente, solo la mayoría de las aplicaciones parecen preocuparse de esta manera. Algunos almacenan todo en texto sin formato (la aplicación de correo electrónico estándar en algunos dispositivos HTC es conocida por eso, por ejemplo: almacenar contraseñas e incluso información de directorio en texto sin formato para los servicios de Exchange. Las fuentes de esta acusación se pueden encontrar en el libro mencionado a continuación).

¿Qué aplicaciones son seguras?

Es difícil saber realmente qué aplicaciones se guardan, aunque algunos servicios lo ayudan a averiguarlo; consulte, por ejemplo, AppWatchdog de ViaForensic , donde investigan a fondo las aplicaciones para cosas como esa (pero con recursos limitados están lejos de cubrir todo). Algunos blogs de seguridad también informan sobre los problemas encontrados, y si alguna aplicación conocida se ve afectada por un agujero de seguridad de este tipo (como, por ejemplo, la aplicación de correo electrónico mencionada o Skype ), todos los blogs del mundo correrán la voz.

Cómo comprobarlo por tu cuenta

Conociendo las estructuras de cómo se guardan los datos, podría investigar usted mismo (si su dispositivo está rooteado, eso es). El libro Android Forensics and Mobile Security de Andrew Hoog es una buena fuente que le enseña cómo hacerlo:

Las aplicaciones almacenan sus datos debajo de /data/data, en un directorio con el nombre del paquete de aplicaciones como nombre (para Skype, sería /data/data/com.skype.merlin_mecha/). De forma predeterminada, solo la aplicación puede acceder a ese directorio (y, por supuesto, la raíz), por lo que requiere privilegios de raíz para profundizar. La estructura básica a continuación es la siguiente:

/data/data/com.example.demoapp
├── cache                Directory
│   └── webviewCache     Directory
│       ├── 027e59a0     Cache file
│       └── 057606c4     Cache file
├── databases            Directory
│   └── example.db       SQLite database
├── lib                  Directory
└── shared_prefs         Directory
    └── example.xml      Config file

Obviamente, hay dos lugares principales para verificar:

1. el shared_prefsdirectorio, que contiene archivos XML. Como se trata de texto sin formato, deberían ser fáciles de investigar.
2. el databasesdirectorio Los archivos de la base de datos generalmente están en el estándar SQLite, por lo que puede investigarlos con un cliente de línea de comandos de SQLite o con una interfaz gráfica como SQLiteMan .

Una información completa sobre este tema iría demasiado lejos aquí, pero espero que haya captado la idea.

Conclusión

No me preocuparía mucho el servicio oficial de Samsung (aunque los "chicos malos" podrían sentarse en todas partes, pero uno no debería volverse paranoico al respecto. Pero, por supuesto, es una buena idea tener cuidado con las aplicaciones que uno usa). Demasiado tarde para su caso actual, podría ser, pero siempre hay un mañana.

La mayoría de las aplicaciones (si no todas) almacenarán las contraseñas guardadas en un formato cifrado en su base de datos en su carpeta de datos.

Como tal, sus contraseñas estarán seguras: tendrían que acceder a la base de datos y luego descifrar la contraseña cifrada almacenada.

Además de eso, lo más probable es que limpien su dispositivo de todos modos (no siempre se hace, depende de la reparación).