java加密，移动端解密

Question

和朋友一起做了个手机应用，分为服务器端和移动端。里面有一些比较敏感的信息，想在想的是存入数据库的时候加密，然后客户端展现的时候在解密。之前没做过这方面的所以有些疑问。加入我在服务器端加密了，先3DES加密然后Base64，客户端解密的话翻过顺序来。据我所知android代码可以反编译，反编译后那不是可以知道解密的密钥等，然后就可以破解了。以前没怎么做个加密这一块的，请各位指教。或者保护用户数据安全有什么别的办法吗？还请各位不吝赐教。谢谢。

Answer 1

这种情况还是用非对称加密（比如RSA）吧。一般非对称加密的密钥分为私钥和公钥，私钥自己保存，公钥公开分发。非对称加密算法的特征是：私钥加密的数据只有公钥能解密，反之亦然。服务器保留私钥，发布加密后的数据；android客户端保留公钥，可以解密服务器传过来的数据（这样，即使别人反编译了你的App，得到了公钥也没有关系）。其实HTTPS也是这个原理（准确的说HTTPS验证身份的时候是非对称加密，正常通讯时用的是对称加密：非对称加密太耗费资源）。

Answer 2

我建议你简单的用SSL进行通信就完了。无论何种加密方法，公钥也好对称加密也好，在客户端能被反编译的情况下，破解都是轻轻松松的采用SSL，安全性和其他是一样的，但是简单方便。你的应用层完全不需要做任何变动。