El paquete y lo que deja en el teléfono

Una cadena que parece una clave puede ser una credencial privada o un identificador que su proveedor publica para las aplicaciones. Lo que decide es qué permite hacer y quién la emite: una clave que firma cobros con un tercero es un secreto; una clave de cliente de mapas, restringida al paquete, está pensada para viajar en él.

El almacenamiento de la app mezcla cosas inocuas con cosas que valen una sesión. Un archivo de preferencias con el tema y el idioma no importa; uno con el token de sesión en texto plano, sí, porque quien tenga el teléfono o una copia de seguridad hereda la sesión.

Un buen informe distingue lo que falla de lo que funciona. Una base local cifrada con una clave que se genera en el dispositivo y vive en el almacén de claves del sistema es el control correcto para datos que deben quedarse en el teléfono. Reportarla como fallo gasta la credibilidad del informe.

Una compilación de publicación no debería escribir en el registro del dispositivo credenciales ni datos personales: el registro se puede leer conectando el teléfono con la depuración activada. Cuenta las líneas del registro que llevan una credencial de sesión o un dato personal del titular.

Una clave privada dentro de un paquete publicado ya la tiene cualquiera que haya descargado la app. Cambiarla de sitio dentro del paquete, o disfrazarla, no cambia eso: lo que cierra el hallazgo es que la firma de los cobros no ocurra en el cliente y que la clave expuesta se sustituya por otra.