4

estou com uma dúvida quanto à segurança de aplicações cross-domain...

É o seguinte, no caso de eu ter um APP híbrido que rodará em um smartphone e irá fazer requisições ajax cross-domain para uma api (no caso vários arquivos .php) que estão hospedados em um site qualquer, como posso garantir que somente meu APP irá consumir esses serviços?

Seria usando session?

Sei que também há vários painéis de controle de hospedagem que oferecem proteção de pastas do domínio por senha, porém isso faria com que toda vez que o APP fosse aberto, o usuário tivesse que digitar essa senha do site, o que não é interessante.

Enfim, alguma idéia? Obrigado.

4
  • Usando autenticação e sessão.
    – Syzoth
    Commented 16/06/2016 às 3:46
  • Mas supondo que já houvesse, por exemplo, uma tela funcional de Login dentro do APP, como funcionaria essa autenticação? Pois as informações de autenticação que uso são somente os parâmetros de configuração para fazer a conexão cross-domain(url,usuário,senha,nome do banco). Como poderia executar essa outra autenticação, sem que o usuário precisasse digitar outro login e senha?
    – Léo
    Commented 16/06/2016 às 4:12
  • 1
    Sabe o que é token? Ao invés de session pode usar token
    – Syzoth
    Commented 16/06/2016 às 12:40
  • Olá, não conheço esse conceito de token... Fiz algumas pesquisas aqui, você poderia me dar um pequeno exemplo ou link para que eu tivesse um norte?
    – Léo
    Commented 16/06/2016 às 20:54

3 Respostas 3

6
+50

Utilize encriptação e autenticação via certificados de cliente em um mecanismo conhecido como autenticação mútua [1].

  • Crie um certificado SSL server-side auto-assinado e instale no seu servidor web. Você pode usar a keytool incluída no Android SDK para esta finalidade.
  • Em seguida, crie um cliente auto-assinado e instale na sua aplicação em um custom keystore vinculado à sua aplicação como um resource (o keytool gerará este keystore também).
  • Configure o servidor para exigir autenticação SSL do lado do cliente e aceitar apenas o certificado que você gerou para a sua aplicação Android.
  • Configure a aplicação Android para usar esse certificado para identificar-se e só aceitar o certificado server-side instalado no seu servidor.

Para tornar difíceis ataques man-in-the-middle que simplesmente utilizem a hierarquia de certificados para interceptar seu conteúdo complemente esta implementação com certificate pinning.

Você garantirá assim que clientes Android apenas se conectarão ao servidor que você especifiar, e que o seu servidor de aplicação aceitará apenas conexões oriundas de clientes autorizados pelo certificado.

Tokens de sessão e cookies, mesmo sob HTTPS, não são garantia de origem.

[1] créditos a @cantoni pela menção ao nome do modelo.

Fontes e referências:

https://stackoverflow.com/a/9432833/1845714
https://support.microsoft.com/en-us/kb/901183
http://chariotsolutions.com/blog/post/https-with-client-certificates-on/
https://security.stackexchange.com/a/29990/18139

6
  • 1
    Acredito que isso seja o máximo que possa ser feito. Mesmo assim qualquer engenharia reversa poderá obter o certificado, assim conseguindo usa-la fora do aplicativo. Sempre que vejo um assunto desse tipo eu lembro disto mokhdzanifaeq.github.io/extracting-instagram-signature-key-2 e agora com o Pokemon GO em applidium.com/en/news/unbundling_pokemon_go. :S
    – Inkeliz
    Commented 22/07/2016 às 4:17
  • Excelente reposta. Isso é uma autenticação mútua: en.wikipedia.org/wiki/Mutual_authentication
    – cantoni
    Commented 22/07/2016 às 11:50
  • 1
    @OnoSendai, nem precisava dos créditos, mas já que você colocou, Obrigado. :-)
    – cantoni
    Commented 22/07/2016 às 12:31
  • 1
    @Inkeliz você está correto. Um agente malicioso com tempo e dedicação suficientes poderá, na pior das situações, executar o APK em um ambiente virtual e extrair as chaves diretamente da memória. Entretanto alguns fatores de risco podem ser minimizados. Mencionei certificate pinning como uma das práticas.
    – OnoSendai
    Commented 22/07/2016 às 12:35
  • 1
    Olá, vou marcar essa como resposta pois achei a mais completa. Apesar de não ser exatamente isso que eu buscava(Pois preciso de soluções de segurança não só para a plataforma Android, mas para as outras também) foi a resposta que mais ampliou meu conhecimento na área. Obrigado.
    – Léo
    Commented 22/07/2016 às 18:37
1

Além da autenticação por login e senha você pode usar Token conforme informado. Existem algumas ferramentas como o JWT.

Basicamente você terá uma sequência de caracteres nos dois sistemas, por exemplo "abcd". Durante uma requisição você passa "abcd" para o outro sistema que vai verificar se bate com a sequência do servidor. Caso positivo autoriza a requisição, caso não nega.

Em um ambiente real, essa sequência tem mais caracteres e são criptografados usando alguma tecnologia de criptografia. Ferramentas como essa que citei auxiliam nesses procedimentos.

Procure tutoriais com as tecnologias que usa por exemplo AngularJS + JWT: https://thinkster.io/angularjs-jwt-auth

1
  • Olá, pesquisei e procurei na internet e achei algumas informações, principalmente usando Angular. Porém, não estou usando ANgular, poderia me dar um exemplo bem básico só para eu começar?
    – Léo
    Commented 21/07/2016 às 15:28
0

A autenticação existe para você resolver esse problema de uma forma segura e unica no protocolo HTTP.

Você tem essas opções entra outras listadas aqui, essas são as mais utilizadas e recomendadas:

Autenticação Basica (TLS)

Autenticação básica (Basic Authentication) é o mais facil de se implementar, porque pode ser implementado na maioria das vezes, sem nenhuma biblioteca a mais... Seu problema é que ele é "basico", e sendo assim, tem seu nível de segurança menor que outros protocolos. Você envia o seu usuário e senha através de uma criptografia Base64 encode, e utiliza o SSL para criptografar ainda mais(TLS). Após isso você pode criar uma tabela de sessão, gerar um hash e utilizar isso em sua aplicação salvando no cookies do navegador.

Oauth2(Recomendo):

Oauth2 utiliza SSL(TLS) tambem para criptografar senha/usuario e outras propriedades nao obrigatorias como escopo. Ele é realmente um protocolo, complexo, e utilizado no sistema de autorização da Google e Facebook. Utilizo ele em um projeto meu grande, e não recomendo para o seu caso. Recomendo que utilize (caso escolha o OAuth2) um servico de terceiro para o trabalho: https://auth0.com

Utilização de terceiros como Stormpath

Voce pode utilizar serviços de terceiro para fazer todo o trabalho, porem é um custo a mais, e você fica meio amarrado com o serviço. https://stormpath.com/

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .