確保傳遞給API的數據來自有效的移動應用程序

Question

我正在構建一個PhoneGap移動應用程序，我希望用戶能夠檢查位置。我可以獲取用戶的位置並將其發佈到我的API並且所有這些工作。我在尋找的是防止欺騙API調用的方法。

我目前的想法是，我可以在移動應用程序和服務器上擁有共享私鑰。然後，我會用該密鑰客戶端散列（？）用戶位置，然後使用相同的密鑰服務器端來還原數據。

Answer 1

要完全保護必須在最終用戶設備上運行的軟件，如果他們能夠完全訪問設備是非常困難的。

通常安全性的主要擔憂是確保最終用戶免受外部威脅。

確保您使用的是SSL/HTTPS，這會減慢任一類型的攻擊者。同時確保您的服務器不會在平原http上進行響應。

您可以通過保留證書的散列並制定更改時間的策略來加強HTTPS實施。例如。如果有人試圖在他們自己的網絡上查看協議，或者更確切地說，如果您的證書到期並且您更新了該協議。

隨着通信渠道「安全」，並且無法阻止攻擊者完全訪問您的源代碼和加密密鑰;剩下的唯一辦法就是模糊不清。

基本上，建立一層或兩層保護（取決於它的嚴重程度），然後在API端點中建立檢測機制，以提醒您進行黑客攻擊。