Безопасность веб-сервиса (на Amazon) для iOS - PullRequest
2 голосов
/ 06 октября 2011

Мне было интересно, получил ли кто-нибудь опыт работы с веб-сервисами Java, развернутыми на Tomcat и работающими в Amazon EC2, с точки зрения безопасности, когда дело доходит до доступа к веб-сервисам через устройства iOS. ОТДЫХ и МЫЛО.

Имеются ли какие-либо рекомендации или рекомендации относительно того, как веб-служба может проверять вызывающего, чтобы он вызывался из приложения (и пользователя), который должен вызывать его, а не из какой-либо другой программы? Какие классы / компоненты, протоколы или методы вы бы порекомендовали? Является ли AWS Identity and Access Management опцией, и если, как, вы бы ее использовали?

Спасибо, что поделились и за любой намек!

1 Ответ

1 голос
/ 24 января 2012

Я понимаю ваш вопрос: вы хотите, чтобы только ваше приложение iOS использовало веб-сервис (Tomcat через REST / SOAP).Вы не хотите, чтобы кто-то писал какую-то специальную программу, которая претендует на роль вашего приложения.

Лучший способ - убедиться, что ваше приложение iOS проверяет доменное имя и сертификат SSL-соединения, чтобы предотвратить прослушивание и захват любого пользователя.идентификаторы «это фактическое приложение».

Некоторые распространенные методы, которые я использовал, чтобы поощрять то, что только приложение для iOS (а не какая-либо пользовательская программа) является единственной связывающей, должны включать в себя имя платформы иверсия вместе с пользовательской строкой идентификатора, такой как «MyApp ABC123F3», встроенной в программный код.Другим вариантом является математическая процедура, которая отправляет номер вращающегося ключа, который может проверить только сервер.Другим вариантом по-прежнему будет клиентский SSL-сертификат, встроенный в приложение, но его может быть легче найти.

Конечно, если кто-то берет двоичные файлы и анализирует их, они всегда могут получить секретную строку / алгоритми подражать этому.Вы не можете ничего сделать, чтобы остановить это, кроме как сделать это трудоемким и трудным.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...