EncryptedSharedPreferences: Was es ist, API und wie man es verwendet

Was ist EncryptedSharedPreferences?

EncryptedSharedPreferences ist eine Klasse aus dem Paket androidx.security.crypto, eingeführt in AndroidX Security 1.0.0 (2019). Sie implementiert das SharedPreferences-Interface, aber alle Schreiboperationen (putString, putInt, putBoolean, usw.) verschlüsseln Daten vorab, und Leseoperationen entschlüsseln sie vor der Rückgabe.

Das Problem normaler SharedPreferences

Standardmäßige SharedPreferences speichern Daten in einer XML-Datei im App-Verzeichnis (/data/data/package/shared_prefs/). Die Datei ist nicht verschlüsselt — bei Root-Zugriff auf das Gerät oder bei der Analyse von Backups werden alle Daten als einfaches XML gelesen. Authentifizierungstoken, API-Schlüssel und persönliche Benutzerdaten werden für Angreifer zugänglich.

EncryptedSharedPreferences löst dieses Problem auf Bibliotheksebene: Daten werden vor dem Schreiben auf die Festplatte verschlüsselt und beim Lesen entschlüsselt. Der Entwickler muss keine kryptografischen Funktionen manuell aufrufen — die API bleibt identisch mit normalen SharedPreferences.

Geschichte und Versionen

Die AndroidX Security-Bibliothek v1.0.0 wurde im Dezember 2019 veröffentlicht. EncryptedSharedPreferences ersetzte den veralteten Ansatz der manuellen Verschlüsselung über Cipher + SharedPreferences. Die aktuelle stabile Version ist 1.1.0-alpha06 (2024) und unterstützt API 19+. Die Bibliothek ist Teil von Jetpack und erfordert keine zusätzlichen Berechtigungen.

Laut Google Security Blog (2024) ist EncryptedSharedPreferences die empfohlene Methode zum Speichern vertraulicher App-Einstellungen, die keine Cloud-Synchronisierung erfordern. Für komplexere Szenarien wird Room mit SQLCipher-Verschlüsselung empfohlen.

Wie funktioniert EncryptedSharedPreferences?

EncryptedSharedPreferences verwendet ein zweistufiges Verschlüsselungsschema: Der Master Key wird in Android Keystore gespeichert, und abgeleitete Schlüssel werden für die Datenverschlüsselung verwendet. Dies kombiniert den Keystore-Schutz mit der Leistung symmetrischer Verschlüsselung.

Verschlüsselungsschema: AES-256 GCM + SIV

Für Werte wird AES-256 GCM (Galois/Counter Mode) verwendet — ein authentifizierter Verschlüsselungsmodus (AEAD), der Vertraulichkeit und Integrität der Daten gewährleistet. Für Schlüssel (Parameternamen) wird AES-256 SIV (RFC 5297) angewendet — eine deterministische Verschlüsselung, die für die Schlüsselsuche erforderlich ist, ohne deren Inhalt preiszugeben.

Jede Datei von EncryptedSharedPreferences enthält verschlüsselte Schlüssel-Wert-Paare. Die Dateistruktur umfasst: zuerst einen Header mit Metadaten (Version, Schlüsselidentifikator), dann eine Liste verschlüsselter Einträge. Die Datei ist kein gültiges XML und kann mit Texteditoren nicht gelesen werden.

MasterKey und KeyStore

Die Klasse MasterKey ist für die Erstellung und Verwaltung eines 256-Bit-Masterschlüssels verantwortlich, der in Android Keystore gespeichert wird. MasterKey.Builder ermöglicht die Konfiguration von: Speichertyp (Keystore oder Software), biometrischem Schutz und Schlüssellebensdauer. Standardmäßig wird der Masterschlüssel in Android Keystore mit dem Algorithmus AES/GCM/NoPadding generiert.

import androidx.security.crypto.MasterKey
import androidx.security.crypto.EncryptedSharedPreferences

fun getEncryptedPrefs() {
    val masterKey = MasterKey.Builder(context)
        .setKeyScheme(MasterKey.AES256_GCM_SPEC)
        .build()

    val prefs = EncryptedSharedPreferences.create(
        context,
        "secure_prefs",
        masterKey,
        EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
        EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
    )
}

Einrichtung und Konfiguration der Verschlüsselung

EncryptedSharedPreferences.create akzeptiert fünf Parameter: Kontext, Dateiname, Masterschlüssel, Schlüsselverschlüsselungsschema und Wertverschlüsselungsschema. Die Wahl der Schemata beeinflusst Leistung und Sicherheitsniveau.

Schlüsselverschlüsselungsschemata

AES256_SIV — deterministische Verschlüsselung: identische Schlüssel erzeugen immer denselben Chiffretext. Dies ist für die Schlüsselsuche erforderlich (SharedPreferences.getX(key)). Nachteil: Ein Angreifer kann durch den Vergleich wiederholter Chiffretexte feststellen, welche Schlüssel verwendet werden. AES256_SIV2 — eine verbesserte Version mit zusätzlicher Randomisierung.

Für Werte wird AES256_GCM verwendet. GCM fügt jedem Wert einen 12-Byte-IV (Initialisierungsvektor) und einen 16-Byte-Authentifizierungstag hinzu. Dies gewährleistet Vertraulichkeit (niemand kann den Wert lesen) und Authentifizierung (niemand kann den Wert unbemerkt verändern).

Biometrischer Schutz des Masterschlüssels

Die Methode setUserAuthenticationRequired(true) in MasterKey.Builder erfordert eine biometrische Bestätigung, bevor der Masterschlüssel aus dem Keystore abgerufen wird. Dies fügt eine zusätzliche Ebene hinzu: Selbst wenn die App auf einem entsperrten Gerät ausgeführt wird, kann ein Angreifer EncryptedSharedPreferences nicht ohne Face ID oder Touch ID lesen.

Wichtig: Bei setUserAuthenticationRequired wird der Masterschlüssel unbrauchbar, wenn der Benutzer die Biometrie ändert oder löscht. KeyPermanentlyInvalidatedException muss behandelt und ein neuer Masterschlüssel mit Datenmigration erstellt werden.

fun createBiometricKey(): MasterKey {
    return MasterKey.Builder(context)
        .setKeyScheme(MasterKey.AES256_GCM_SPEC)
        .setUserAuthenticationRequired(true)
        .setRequestStrongBoxBacked(true)
        .build()
}

fun writeSecureToken(token: String) {
    try {
        prefs.edit().putString("auth_token", token).apply()
    } catch (e: KeyPermanentlyInvalidatedException) {
        // Biometrie hat sich geändert — Schlüssel muss neu erstellt werden
    }
}

Beispiel zur Verwendung in Kotlin

Schauen wir uns ein vollständiges Beispiel zur Integration von EncryptedSharedPreferences in einer Android-App mit Kotlin an. Die Bibliothek androidx.security:security-crypto wird über Gradle hinzugefügt.

Abhängigkeit hinzufügen

Fügen Sie in der Datei build.gradle (app) hinzu: implementation „androidx.security:security-crypto:1.1.0-alpha06“. Für Kotlin-Projekte wird zusätzlich kotlin-stdlib benötigt. Die MasterKey-Initialisierung erfolgt einmalig, normalerweise in Application.onCreate oder über einen DI-Container.

Daten lesen und schreiben

Nach der Erstellung einer EncryptedSharedPreferences-Instanz unterscheidet sich die API nicht von normalen SharedPreferences. edit() gibt einen Editor zurück, alle Methoden (putString, getString, putBoolean, getBoolean) funktionieren gleich. Der einzige Unterschied ist intern: Daten werden beim Schreiben verschlüsselt und beim Lesen entschlüsselt.

class AuthRepository(context: Context) {
    private val prefs = createEncryptedPrefs(context)

    fun saveCredentials(login: String, password: String) {
        prefs.edit()
            .putString("login", login)
            .putString("password", password)
            .apply()
    }

    fun getToken(): String? {
        return prefs.getString("auth_token", null)
    }

    fun clearAll() {
        prefs.edit().clear().apply()
    }
}

Migration von normalen SharedPreferences

Zur Migration vorhandener Daten aus unverschlüsselten SharedPreferences in EncryptedSharedPreferences müssen Sie: alle Daten aus der alten Datei lesen, eine neue EncryptedSharedPreferences erstellen, alle Daten schreiben und die alte Datei löschen. Google stellt keinen integrierten Migrator bereit — der Entwickler implementiert ihn manuell.

Vergleich mit normalen SharedPreferences

Die Wahl zwischen SharedPreferences und EncryptedSharedPreferences hängt von der Art der gespeicherten Daten ab. Für UI-Einstellungen (Design, Sprache, Sortierung) sind normale SharedPreferences ausreichend. Für vertrauliche Informationen (Token, Passwörter, Schlüssel) ist EncryptedSharedPreferences obligatorisch.

Leistung

EncryptedSharedPreferences ist aufgrund kryptografischer Operationen langsamer als normale. Das Schreiben eines einzelnen Zeichenfolgenwerts dauert ~5-15 ms (abhängig von der Datengröße und AES-Hardwarebeschleunigung). Das Lesen dauert 2-5 ms. Für die meisten Apps ist dies nicht spürbar, aber bei Batch-Operationen (Migration, Wiederherstellung) sollte apply() statt commit() verwendet werden.

Sicherheit

Normale SharedPreferences bieten keinen kryptografischen Schutz: Die XML-Datei kann von jedem Prozess mit Root-Zugriff oder über adb backup gelesen werden. EncryptedSharedPreferences verschlüsselt Daten auf Anwendungsebene, und der Masterschlüssel wird in Android Keystore mit optionalem Hardwareschutz (StrongBox) gespeichert.

Wann EncryptedSharedPreferences wählen

Verwenden Sie EncryptedSharedPreferences zum Speichern von: OAuth-Refresh-Token, API-Schlüsseln für externe Dienste, E-Mail-Adresse oder Telefonnummer des Benutzers sowie vertraulichen App-Einstellungen (PIN, Authentifizierungsflags). EncryptedSharedPreferences ist nicht geeignet für biometrische Daten oder große Dokumente — verwenden Sie stattdessen EncryptedFile oder Room mit SQLCipher.

Die allgemeine Regel: Wenn ein Datenleck dem Benutzer oder Unternehmen schadet — verwenden Sie EncryptedSharedPreferences. Wenn die Daten nur kosmetischer Natur sind (Design, Sprache, Sortierung) — normale SharedPreferences. Es ist sinnvoll, EncryptedSharedPreferences von Anfang an zu implementieren, ohne Refactoring: Die Ersetzung in einem bestehenden Projekt erfordert Migration und die Verarbeitung alter unverschlüsselter Daten.

Denken Sie daran, dass EncryptedSharedPreferences Daten nur während der Ausführung der App schützt — nur auf der Festplatte. Wenn ein Angreifer Zugriff auf den Prozessspeicher hat, können entschlüsselte Daten abgefangen werden. Verwenden Sie zusätzlichen Schutz: ProGuard/DexGuard zur Verschleierung.