Meilleure pratique pour détecter l'application iPhone Accès uniquement aux services Web?

Utilisez une forme de Signatures numériques dans votre demande. Bien qu'il soit assez difficile de faire cette preuve complètement désigné (tout comme tout ce qui concerne la sécurité). Ce n'est pas si difficile de l'obtenir "assez bon" pour prévenir la plupart des abus.

Bien sûr, cela dépend fortement de la sensibilité des données, si vos transactions de données impliquent un million de transactions en dollars, vous le souhaitez beaucoup plus en sécurité qu'une simple journalisation statistique d'utilisation (si elle est suffisamment rigoureuse pour saboter et elle gagnera Peu de gagner à l'attaquant, sauf le pisse, il est prudent de supposer que les gens ne vont pas déranger ...)

Un moyen très bon marché de faire cela pourrait être d'obtenir le logiciel iPhone pour envoyer des données supplémentaires avec la requête, telle qu'une chaîne de mot de passe longue de sorte que quelqu'un ne puisse pas accéder à l'alimentation.

Quelqu'un pourrait inverser l'ingénieur Ce que vous avez fait ou écouter des données envoyées sur le réseau pour découvrir le mot de passe et si les limitations de la bande passante sont la raison de le faire, un mot de passe simple doit être suffisamment bon.

Bien sûr, cette méthode a des problèmes et une authentification basée sur le certificat sera réellement sécurisée, bien qu'elle soit plus difficile de coder.

Le problème avec la plupart des solutions sinon toutes les solutions ici est qu'ils sont plutôt enclins à rompre une fois que vous avez ajouté des procurations dans le mélange. Si un proxy se connecte à votre site Web, c'est que ça va? Après tout, il le fait probablement donc au nom d'un iPhone quelque part - peut-être en Chine? Et s'il est correct pour un proxy d'imiter un iPhone, comment déterminez-vous quelles impersonnations sont correctes?

Ce que vous pouvez faire est d'obtenir une clé secrète que vous savez que vous saurez que dans une signature hachée MD5, vous pouvez généralement structurer des signatures comme en tant que tring de vos paramètres une valeur ND et le secret annexé à la fin, puis prenez la MD5 hachage de cela ... Faites-le à la fois dans votre client et votre côté de votre service et correspondez à la chaîne de signature, uniquement si les signatures correspondez-vous, vous obtenez un accès accordé ... Depuis que le secret n'est présent que dans la signature. pour inverser l'ingénieur et la fissure ..

La solution la plus sécurisée est probablement une signature numérique sur la demande. Vous pouvez conserver une clé secrète dans l'application iPhone et l'utiliser pour signer les demandes, que vous pouvez ensuite vérifier sur le côté serveur. Cela évite d'envoyer la clé / mot de passe sur le serveur, ce qui permettrait à quelqu'un de la capturer avec un renifleur réseau.

Une solution simple peut être simplement d'utiliser HTTPS - Garder le contenu de vos messages en sécurité malgré la présence d'écites d'écoute potentielle est tout le point de HTTPS. Je ne sais pas si vous pouvez faire des certificats auto-signés avec les trucs nsurlconnection standard, mais si vous avez un certificat côté serveur, vous êtes au moins protégé de l'oreille. Et c'est beaucoup moins de code pour vous écrire (en fait, aucun).

Je suppose que si vous utilisez HTTPS comme votre seule sécurité, vous êtes potentiellement ouvert à une personne qui devine l'URL. Si c'est une préoccupation, l'ajout de tout type de validation des paramètres au service Web prendra en charge cela.

Voici une expansion sur la suggestion de Daniel.

avoir un secret partagé que le serveur et le client connaissent. Dire une longue chaîne aléatoire.

Ensuite, lorsque le client se connecte, demandez au client de générer une autre chaîne aléatoire, appendez-la à la fin de la chaîne partagée, puis calculez le hachage MD5.

Envoyez à la fois la chaîne générée de manière aléatoire et le hachage comme paramètres de la demande. Le serveur connaît la chaîne secrète. Il peut donc générer un hasch de son propre et s'assurer qu'il correspond à celui qu'il a reçu du client.

Ce n'est pas complètement sécurisé, car quelqu'un pouvait décompiler votre application pour déterminer la chaîne secrète, mais c'est probablement le meilleur que vous obtiendrez sans beaucoup de travail supplémentaire.

J'ai demandé à un ingénieur de sécurité Apple à ce sujet à la WWDC et il a dit qu'il n'y a pas de moyen inattaquable d'accomplir cela. Le mieux que vous puissiez faire est de ne pas valoir l'effort impliqué.

Je lui ai également demandé d'utiliser éventuellement des notifications push comme moyen de le faire et il pensait que c'était une très bonne idée. L'idée de base est que le premier accès déclencherait une notification push dans votre serveur qui serait envoyée à l'iPhone de l'utilisateur. Étant donné que votre application est ouverte, elle appellerait dans l'application : Didreceiveremotenotification: Méthode et fournit une charge utile de votre choix. Si vous faites cette charge utile une nonce, votre application peut envoyer la nonce sur la demande suivante et vous avez terminé le cercle.

Vous pouvez stocker l'UDID après cela et jeter toutes les demandes portant des udids non vérifiés. En ce qui concerne la supposition de la force brute de paramètres nécessaires, vous devez mettre en œuvre un algorithme limitant le taux, quoi qu'il arrive.