सुरक्षित वेब सेवा अनुरोध

Question

मुझे एंड्रॉइड एप्लिकेशन के माध्यम से वेब सेवा के लिए अनुरोध करने की आवश्यकता है। webservice को आवश्यकतानुसार डिज़ाइन किया जा सकता है।

ऐसा लगता है कि कोई फर्क नहीं पड़ता कि मैं कौन सा दृष्टिकोण चुनूंगा, कोई भी जो इसे हैक करना चाहता है, उसे केवल मेरे एंड्रॉइड एप्लाइक्शन कोड (जो बहुत कठिन नहीं है) को रिवर्स करने की आवश्यकता होगी और ठीक से देख सकता है कि मैं क्या करता हूं , wheather मैं डेटा एन्क्रिप्ट, हार्डकोड पासवर्ड या उस मामले के लिए किसी अन्य समाधान का उपयोग करें।

क्या कोई समाधान है जो 100% सुरक्षित होगा?

Answer 1

कोई 100% सुरक्षित नहीं है, आप बस अपने हमलावर के लिए चीजें कठिन बना सकते हैं। चीजें आप पर विचार कर सकते हैं:

• एन्क्रिप्शन - एन्क्रिप्टेड चैनल पर अपने अनुरोध पासिंग बुनियादी सूंघने से बंद हो जाएगा (इस MITM के साथ मुकाबला किया जा सकता है)

• कहानियो - अपने इरादे कठिन समझने के लिए जब वे करते हैं बनाओ अपने ऐप के साथ छेड़छाड़ की गई नोटिस और इसके साथ सौदा करने की क्षमता - अपने अनुप्रयोग

इस के दूसरे भाग विघटित शमन है। इसे संभालने का एक सामान्य तरीका प्रत्येक क्लाइंट को पहले रन पर एक अद्वितीय टोकन असाइन करना है, फिर इसे अपनी सेवा में प्रत्येक कॉल पर एक तर्क के रूप में पास करें।

इस तरह अगर कोई आपके ऐप को डिमंपाइल करता है और आपकी सेवा को कॉल करने के तरीके को समझता है तो आप कम से कम निगरानी कर सकते हैं जहां अपमानजनक अनुरोध आ रहे हैं और संदिग्ध व्यवहार की निगरानी भी कर सकते हैं (यानी एक छोटी अवधि में एक ही कुंजी से एकाधिक अनुरोध विभिन्न आईपी पते पर)। वहां से आप अवरुद्ध कुंजी शुरू कर सकते हैं।

Answer 2

आप "हैकिंग" के बारे में चिंतित हैं, लेकिन किसी भी सुरक्षा चर्चा का आधार जोखिम को परिभाषित कर रहा है।

आप किसके खिलाफ सुरक्षा करने की कोशिश कर रहे हैं?

उदाहरण के लिए, क्या आप सर्वर पर किसी और के कनेक्शन को पढ़ने के लिए हमलावर के खिलाफ सुरक्षा करने की कोशिश कर रहे हैं?

इस परिदृश्य के लिए एक सरल और सुरक्षित समाधान आपके सममित एन्क्रिप्शन कुंजी के लिए असममित कुंजी एक्सचेंज का उपयोग करना होगा, या मौजूदा प्रोटोकॉल का उपयोग करना होगा (उदा। एचटीटीपीएस)। मैन-इन-द-बीच हमलों के खिलाफ बचाव के लिए सर्वर की निजी कुंजी (या HTTPS का उपयोग करते समय प्रमाणपत्र) को एम्बेड करें। रिवर्स-इंजीनियरिंग आपका ऐप यहां हमलावर की मदद नहीं करेगा।