4

Estou fazendo um aplicativo onde preciso enviar de forma segura dados do usuário para o Web Service usando PHP. Para isso, estou pesquisando sobre segurança para iOS.

Qual é o método recomendado e quais são os pontos com os quais devo me preocupar?

Por favor, de preferência citar referências à documentos ou tutoriais sobre segurança.

0

1 Resposta 1

3

Para uma pesquisa inicial, sugiro que comece lendo este documento: iOS Security Guide (em inglês)

Antes de enviar (armazenamento off-line), partindo da página 9: Encryption and Data Protection

Enviando os dados, comece da página 23: Network Security

Agora que a pergunta foi editada, entendo que provavelmente você quer interagir com o servidor usando HTTP GET ou POST via TLS (também conhecido como HTTPS).

Nesse caso, sugiro que siga a especificação da Apple neste link: Making HTTP and HTTPS Requests (em inglês)

Recomendações de segurança:

  • Se o seu servidor estiver configurado corretamente (certificado válido, SSL desabilitado), você já começa com boa segurança.
  • Poderia aumentar mais a segurança, verificando manualmente se o certificado do servidor é o verdadeiro (praticamente obrigatório se o certificado for customizado). Aumentará ainda mais se usar DNSSEC.
  • Se configurar o aplicativo para enviar o certificado do cliente, aumentará mais ainda (mas nesse caso, dependerá do servidor validar o certificado).

Do aspecto de segurança, vai perceber que o iOS não suporta DNSSEC. Se você basear a segurança do seu sistema apenas pelo que a API do fornecedor oferece, estará correndo um risco. Você precisa primeiro escolher o protocolo de comunicação, e basear suas necessidades em torno dele.

Por não citar referências, considere minhas recomendações como opiniões. Principalmente porque alguns deles são opcionais, outros não são práticos, e alguns não são necessários. Resumindo, depende de vários fatores.

2
  • O link que você recomendou, é bom, mas é uma publicação da Apple de como os serviços delas funcionam com relação a Segurança. Gostaria de algo mais especifico tratando sobre envio e recebimento de dados para um back-end. Commented 30/03/2015 às 4:35
  • 2
    Quando você disse "para serem enviadas", entendi como sendo antes de enviar os dados. Para o caso de "ao enviar" ou "enviando ao servidor", começaria da página 23, Network Security. Então escolheria uns dos métodos listados ali, e me concentraria em achar tutoriais específicos (para evitar uma resposta muito ampla no Stack Overflow). Commented 30/03/2015 às 4:43

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .