公開鍵の記載場所について

Question

Androidアプリにアプリ内課金をつけて動くようにはなったのですが、Google Play Developper で取得した公開鍵をそのままコード内に書いています。
そのまま書かないほうがいいそうなのですが、みなさんどうされているのでしょうか。
コードにそのまま書くと「リバースエンジニアリングされたときに見られてしまう」ということであれば、見られない場所というものがあるのか、それとも記載されたコードをなにかプログラム内で加工して使うということなのでしょうか。
こんな感じにしているとか、参考になるサイトなどがありましたら教えてください。
よろしくお願いします。

Answer 1

公開鍵暗号の「公開鍵」は名前のとおり公開してもよいものです。
もし天下のGoogleが公開してはマズい鍵を「公開鍵(public key)」などと呼んでいたのなら、笑いものどころではありません。

見られない安全な場所に保存したい気持ちは分かります。しかし、公開鍵暗号の公開鍵は「見られてもぜんぜんOK」だから凄いのです。

逆に公開鍵をがっつり秘密にしようとすると、いったいどうなってしまうのか考えてみましょう。適当な「おもちゃ暗号」ではリバースエンジニアリングすれば一発です。じゃ安全なAESで暗号化してみましょうか。・・・では質問です、「AESで暗号化した公開鍵」を復号するためのAESの鍵はどこに保存すればいいのでしょうか？このように見事な堂々巡りになってしまうのです。

コンピューティング分野のノーベル賞ことチューリング賞、公開鍵暗号の研究者に与えられる : ギズモード
公開鍵暗号 - Wikipedia

Comments

[poohponta]

なんか安心しました。コード内に書いちゃいますｗ。ありがとうございました。