確保移動應用程序的SSL通信安全

Question

我們致力於通過SSL爲移動應用程序確保通信安全。不安全的風險之一是讓別人從HTTP GET/POST請求中嗅探頭信息並獲取用戶名/密碼。但是，我一直想知道，如果移動設備正在通過2G/3G，家庭無線網等交換數據，人們如何能夠嗅探網絡數據包。在公共WiFi上交換數據時，它只是「不安全」嗎？

Answer 1

一旦通過任何網絡發送數據，就有可能發生這種「嗅探」，線上有很多點（虛擬或物理）。關於公共無線網絡的一點是，它是公開的：D這意味着，任何人都可以訪問並且與所有其他用戶在同一網絡中。這使攻擊更容易。但2G/3G並不比公共無線網絡脆弱。數據發送到其他空中。它被加密，但是這種加密可能被「黑客入侵」。而且，有很多要點，您的傳輸數據包通過了，很容易訪問流量。例如。周圍有交換機，提供所謂的「維護端口」，通過每個數據包傳遞該交換機。然後，這可以用於維修需要以上...

另一個不錯的技術用於海外連接。這裏有一些模塊，它們「簡單地」插在大型海外電纜的頂部，讓您觀看正在進行的交通。

你看，額外的加密永遠不會傷害：D

Answer 2

通過HTTP發送密碼首先從來都不是一個好主意，因爲哈希密碼會更好，或者使用類似的OAuth/

二黑客已經表明，他們可以從連接設備spoof cell phone tower和捕獲數據。

另外一個主要問題HTTP response caching，如果您發送格式錯誤的標頭黑客可能會攔截重定向到自己的服務器的數據。

因此，使用SSL（TLS）並檢查證書是否有效，不允許任何重定向，您應該沒問題。直到下一個大黑客（heartbleed）。

Answer 3

簡單嘗試始終使用HTTPS，至少。

這是簡單和相對保護。