एक वेबसाइट सेवा सुरक्षित बनाना

Question

मैं अपना आईफोन ऐप लपेट रहा हूं। मैं बस हमारे वेब सर्वर स्तर पर सुरक्षा के बारे में चिंतित हूं। डेटा को वेब सेवाओं के माध्यम से आईफोन ऐप पर खींच लिया जा रहा है।

वेब सेवाओं पर मैं कौन से सुरक्षा उपायों को डाल सकता हूं ताकि मैं कमजोर न हो?

धन्यवाद

Answer 1

कुछ संकेत दिए गए:

• का उपयोग कर RSA signed XML
• सुनिश्चित करें कि सब कुछ खत्म हो गया SSL
• एन्क्रिप्ट सभी डेटा यातायात फैलता है वेब सेवा से सभी अनुरोधों को सत्यापित करें। मैं AES एन्क्रिप्शन का उपयोग कर DUKPT कुंजी प्रबंधन प्रणाली में देखने की अनुशंसा करता हूं।
• WCF का उपयोग करें - यह सभी के बाद नवीनतम मानक है (this)
• किसी प्रकार की वेब सेवा प्रमाणीकरण का उपयोग करें। यह उतना आसान हो सकता है जितना कि प्रत्येक अनुरोध को उपयोगकर्ता नाम और पासवर्ड की आवश्यकता होती है। यह प्रत्यक्ष कॉल प्रयासों को धीमा कर देगा, और यदि आपको एन्क्रिप्शन सही हो, तो आपको सादे एक्सएमएल में उपयोगकर्ता नाम और पासवर्ड नहीं रखना पड़ेगा।
• सबसे महत्वपूर्ण बात यह सुनिश्चित करती है कि सर्वर स्वयं सुरक्षित है। अगर कोई सर्वर को दरकिनार करता है, तो आप पानी में मर जाते हैं, और नहीं करते कि आप और क्या करते हैं।

---

संपादित करें:

नेट एईएस इंटरोऑपरेबिलिटी को iPhone के लिए this question पर एक नज़र डालें।

Answer 2

यदि आप प्रमाणीकरण को लागू करने के लिए वेब सेवा पेलोड का उपयोग नहीं कर रहे हैं तो आप सामान्य HTTP एथ, एसएसएल के साथ अपनी सेवाएं सुरक्षित कर सकते हैं। क्या आप सर्वर साइड प्रोग्रामर भी हैं?

Answer 3

इससे कोई फर्क नहीं पड़ता कि आप डब्लूसीएफ सेवा को "सुरक्षित" करते हैं, यदि आपकी डब्ल्यूसीएफ सेवा असुरक्षित है। आपको यह मानना ​​चाहिए कि एक हमलावर आईफोन क्लाइंट के बिना आपकी वेब सेवा तक पहुंच सकता है। क्या आपकी वेब सेवा एसक्यूएल इंजेक्शन के लिए कमजोर है? क्या आप खराब कार्यक्षमता का पर्दाफाश कर रहे हैं जो किसी हमलावर को आपके सर्वर पर फ़ाइलों को पढ़ने या किसी अन्य उपयोगकर्ता खाते को बदलने की अनुमति दे सकता है? दिमाग में OWASP Injection flaws रखें। अपने ग्राहकों को स्पिलिंग जानकारी से सुरक्षित रखने के लिए HTTPS का उपयोग करें। शेष यह सुनिश्चित करना चाहिए कि आपके द्वारा खुलासा की गई कार्यक्षमता सुरक्षित है।

एक हमलावर आपके आईफोन बाइनरी या मेमोरी में स्टोर करने और स्टोर करने के लिए कोई भी गुप्त कुंजी या पासवर्ड ढूंढ पाएगा। आपके द्वारा किए गए आईफोन पर हमलावर का अधिक नियंत्रण होता है, वह जेल को डिवाइस तोड़ सकता है और फिर छिपाने के लिए कोई जगह नहीं है।