3

Gostaria de saber se há possibilidade de restringir acesso aos dados da minha aplicação REST.

Por exemplo, eu tenho o xml/json que ela retorna em http://meuapi.com/usuarios, onde me retorna a minha lista de usuários.

Assim qualquer pessoa que descubra a url, pode acessar os dados diretamente pela url obtendo toda informação, e as vezes podendo alterá-la usando plugins do navegador.

Queria saber se existe, e como poderia fazer para impedir que isso acontecesse. Atualmente estou trabalhando na aplicação com Java, mas também trabalho com asp.net, se souberem soluções para ambas, são todas bem vindas.

2
  • Você vai precisar entender de Autenticação e Autorização. Esta pergunta traz um pouco da idéia. Se eu conseguir um tempo eu posto uma resposta depois
    – Caputo
    Commented 25/07/2014 às 20:22
  • Valeu @Caputo Vou verificar o link que me enviou, qualquer coisa se tiver um tempo e puder enviar a resposta fico no aguardo, obrigado. Commented 28/07/2014 às 13:32

1 Resposta 1

4

A resposta para sua pergunta é: Sim, há muitas formas de fazer isto, desde a mais comum com autenticação HTTP ou até gerando certificados ou tokens.

  • Autenticação/Autorização HTTP basic: Na autenticação HTTP Basic, o usuário e senha do cliente são enviados ao servidor codificados em Base64. Esta forma de autenticação provê algum controle de acesso, mas é vulnerável a interceptações na rede, que permitiriam que o atacante obtivesse o usuário e senha e passasse a fazer requisições usando os dados obtidos. Porém, o uso de HTTPS para proteger o canal resolve este problema.
  • Autenticação/Autorização HTTP Digest: A autenticação HTTP Digest é outra forma de controle de acesso a recursos web, e é mais segura que a HTTP Basic. Ela aplica um hash criptográfico MD5 na senha antes de enviá-la pela rede, com uso de valores nonce para prevenir contra replay attacks. Os cálculos MD5 usados na autenticação digest buscam ser unidirecionais, ou seja, deve ser difícil obter o valor de entrada somente a partir da saída. Porém, se a senha for muito simples não deve ser tão custoso o processo de quebra por força-bruta.

  • Autenticação/Autorização através de Certificados: A autenticação/autorização através de certificados também do lado do cliente é um refinamento adicional de segurança sobre a comunicação HTTPS, que já pode ser feita com certificados só do lado do servidor. Esta forma de autenticação/autorização é bastante segura, porém o trabalho e custo de lidar com certificados dos 2 lados é razoável, sendo adequada só em cenários muito sensíveis de segurança.

  • Token-based authorization: Esta é uma forma simples e segura de controlar autenticação/autorização de serviços entre servidores, embora não seja um padrão.

  • OAuth: É um padrão aberto para autorização. Ele provê um método para clientes acessarem recursos no servidor por parte do dono do recurso (como um outro cliente ou um usuário final). Ele também provê meios de usuários finais autorizarem acesso de terceiros a seus recursos em um servidor sem informar suas credenciais, normalmente através de redirects e confirmações por parte dos usuários. O OAuth é comumente usado quando temos um aplicativo que precisa manipular APIs com dados de usuários finais e estes precisam autorizar o acesso. Exemplos típicos são aplicativos que conectam-se a conta do usuário em redes sociais. Embora possa ser usado para autorizações entre servidores, isto não é muito comum. Embora seja seguro, o OAuth não tem adesão tão grande devido à complexidade na implementação.

Fonte: http://blog.rivendel.com.br/2013/06/07/seguranca-em-apis-rest-parte-1/

Autenticação Http básica: http://en.wikipedia.org/wiki/Basic_access_authentication

1
  • Obrigado pela resposta, acredito que com base no que você me respondeu vou conseguir resolver o meu problema. Valeu! Commented 28/07/2014 às 13:39

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .