<div dir="ltr">On Wed, Aug 28, 2013 at 2:47 PM, Benjamin Stewart <span dir="ltr"><<a href="mailto:stewartbenjamin@gmail.com" target="_blank">stewartbenjamin@gmail.com</a>></span> wrote:<br><div class="gmail_extra"><div class="gmail_quote">
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">I agree. In fact, that's my strategy. <div><br></div><div>The problem I've run into in the past, however, is essentially the same as dropbox's biggest problem above. That is, being able to do something automatically for the user without making them enter a password every single time. As soon as you cache a password(or token), you have a secret. You can't encrypt it securely, either, because the code must necessarily have the key at that point, and your attacker can see the code and the key. <div>

<br></div><div>I suppose the proper answer is simply never to do that, but people (users, not me!) want programs to remember them. </div></div></div></blockquote><div><br></div><div>We've been dealing with this as well where I work with a mobile app.  Making it totally secure is difficult, if not impossible.  The thing is, even with a user entered password, all is not well.  If the attacker can get you to update to a compromised app, then the altered code can easily copy the password entered and send it off to the attacker for use later.</div>
<div><br></div><div>Jeff</div></div></div></div>