Java защита секретных ключей

Например можно зашифровать их. Только это защита от очень слабого взломщика. Если сильно захочется их вытащить — способов защитить нет. Настраивай в API минимум прав для этого ключа, чтобы тот, кто вытащит, не смог сделать ничего деструктивного.

Например, хранить ключ к апи у скбя и передавать его с помощью ассиметричного шифрования

Не пытаться реализовать криптографию самому, а использовать что-нибудь из проверенных решений?
https://github.com/google/keyczar
https://tersesystems.com/2015/10/05/effective-cryptography-in-the-jvm/

Самый простой и правильный способ — хранить secret на стороне серввера и клиенту, вообще-то, не давать. Тут вопрос, что за API. И зачем все это нужно.

Ну в принципе так и есть, я хотел сделать чтобы без ключа нельзя было бы зарегистрировать пользователя, и восстановление пароля, это единственные 2 метода, которые не требуют access token.

API свой.

у тебя баг в архитектуре - на клиенте не нужен секретный ключ

максимум что может оказаться на клиенте - приватный/секретный ключ юзера, но для этого в андроиде есть встроенные криптохоронилища и защита паролем

Вообще эти 2 ключа нужны только для регистрации, восстановлении пароля и авторизации, дальше доступ к методам API только по Access Token

Используй верификацию через СМС и никакие ключи не нужны.

cliend_id и client_secret для обращения к API

Ну проснифают твой траффик, хоть обзащищайся.

СМС денег стоят ) После регистрации нужно подтверждать телефон как раз через СМС, хотелось чтобы нельзя было регистрироваться чтобы смс лишний раз не отправлялось, а то можно и скрипт написать чтобы на рандомные телефоны отправлял, тогда еще и заблокируют аккаунт с которого отправляю смс.

это паранойя, и хуже того никак не защитит от спама

тебе знакомо такое слова как captcha ?

да, уже стоит ) еще ограничил количество запросов на регистрацию с одного устройства, но все же можно через curl тогда запросы делать, если будут ключи.

За keyczar спасибо, надо по разбираться )

а будет капча - не будет запрсов

точно, не подумал об этом, спасибо )

Может быть так http://developer.android.com/reference/android/security/KeyChain.html?

Я тут мимо проходил и что-то не понял - декомпилировать проще чем выполнить printenv?