Узнает в следующей

есть такое, но просто я не понимаю зачем беку знать о пине, но не знать о биометрии если это по сути равносильные вещи) ну ок

а там уже поздно будет для меня ахах)

Это не равносильные вещи. Почитай статью =)

Ну сорян =) Я не на зарплате для вас тут работаю 😄

Небольшой вопрос по статье.
Хеш хранится в префах, почему бы не хранить его в keystor'e?

Потому что это не iOS и у нас механика работы кейстора не позволяет это делать.

Мнэ...кейстор джавы/андроида позволяет хранить, насколько я помню, исключительно поддерживаемые им ключи и ключевые пары, внутри него и сгенерированные.
То есть запихнуть внутрь некое число/текст извне если и можно, то под видом пароля, сертификата или как их алиас. Хотя может какой извращенный способ и есть.
А. Можно перед выкладкой в префы пожать хеш клбчом из кейстора. Или использовать любую либу шифрования  префов.

Спасибо!
Понял

Спасибо за статью. Такой вопрос по поводу смены пинкода:
Выходит так, что смена пинкода возможно без повторного запроса к серверу для получения нового access_token’a ?

Ну да. Тебе нужно будет перешифровать старый если он не протух

т.е. я с помощью старого пинкода я прохожу воркфлоу pin authenication, потом с расшифрованым токеном прохожу заново воркфлоу создания пина

У тебя будет один флоу по пересозданию пина. Ты просишь юзера старый пин, расшифровываешь все и приходишь к сценарию создания пина (который описан)

Смена пина это по сути комбинация сценариев которые уже показаны

А как быть если к пинкоду добавляется связка public/private key ? Я генерирую пару, отдаю паблик ключ серверу и храню у себя приватный и публичный зашифрованный как описано в статье?

Потом делаю запрос на сервер /getChallenge, получаю челендж, с помощью пинкода расшифровываю приватный ключ, подписываю им челендж и отправляю на сервер?

Вопрос не очень понятен. Я не знаю чем четеб связка public/private key =)

Ну так у тебя схема завязанная на сервер, а я показал локальную

У нас идея такая:
1. в приложении генерится пара приватный-публичный ключ
2. публичный ключ отправляется на сервер
3. приватный ключ сохраняется в зашифрованом виде локально с помощью пинкода/биометрии
4. когда нужно сервер присылает челендж, который мы подписываем с помощью расшифрованного приватного ключа
5. когда юзер хочет поменять пинкод, пара ключей не меняется, меняется только зашифрованный вид приватного ключа (незнаю как правильно назвать)

А зачем это все?