Безопасная идентификация пользователя в приложении Android без регистрации или входа - PullRequest
0 голосов
/ 03 марта 2012

Мое приложение предоставляет привилегии в зависимости от местоположения пользователя. Если устройство не сообщает о местоположении обратно на сервер, его привилегии на сервере отсутствуют.

Я хочу сделать его максимально безопасным для взлома, чтобы привилегии строго ограничивались текущим местоположением устройства.

Хороший прогресс может быть достигнут, если я смогу точно идентифицировать пользователя / устройство. Затем я могу заблокировать устройство X, если оно сообщит, что сейчас находится в Нью-Йорке и в Лос-Анджелесе через 10 минут (физически невозможно).

Там нет регистрации. Пользователи должны только решить капчу, чтобы начать использовать приложение. Вот и все!

Есть ли способ запретить кому-либо использовать эмулятор Android для олицетворения 20 различных устройств, каждое из которых находится в другом городе, и отправлять на сервер ложные данные, как если бы они были реальными пользователями? Если нет, то есть ли способ сделать это действительно трудным для хакеров?

1 Ответ

1 голос
/ 04 марта 2012

Тебе не повезло. Устройства всегда могут лгать о своем местонахождении. Если у вас есть какой-то способ проверять пользователей (т.е. я не могу продолжать подписку на бесплатные аккаунты) и можете видеть, делают ли они это, вы можете поместить их в черный список, как вы говорите. Просто попросите людей «войти» или что-то подобное при первом использовании и сохранить их учетные данные. Вы можете попытаться использовать номер IMEI или что-то подобное, если у вас есть привилегии, чтобы получить его, но я подозреваю, что кто-то либо в эмуляторе, либо с скажем, мод cyanogen мог бы изменить это тоже, но это будет сложнее.

Существует одно предупреждение: если вы пытаетесь провести тестирование на близость, скажем, если два друга находятся рядом друг с другом, вы можете сделать достаточно сильные криптографические гарантии местоположения. это можно сделать. См. эту бумагу.

Для общей невозможности получения действительно надежных доказательств местоположения см. Эту довольно плотную бумагу . По общему признанию, вы, вероятно, можете сделать что-то, что все еще не тривиально сломать, но не легко.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...