5

Eu estou a fazer uma aplicação que requer o registo dos utilizadores e a minha pergunta é se devo fazer a encriptação na aplicação e guardar no servidor ou enviar a password e fazer a encriptação no servidor na altura do registo?

1
  • Acho melhor na aplicação criar uma encriptação na aplicação depois no servidor decriptar e encriptar com outra criptografia, MD5 sei la. Porque pode ser que seja interceptada antes de chegar no servidor Commented 24/08/2017 às 14:36

2 Respostas 2

6

Toda informação sigilosa deveria sempre ser trafegada de forma criptografada, desde onde ela foi digitada até o servidor. Pode utilizar os mecanismos disponíveis nos sistema operacional e acessíveis pela API do dispositivo.

No servidor quando receber deve imediatamente transformar um hash e descartar a senha original.

Mais que isso só fazendo criptografia end-to-end, mas é um processo mais complicado, cria algumas dificuldades e só vale onde precisa de muita privacidade e precisa diminuir a área de ataque um pouco mais, o que nem garante nada porque a ponta pode estar comprometida de várias formas.

1
  • obrigado pela resposta
    – Pedro
    Commented 24/08/2017 às 16:19
2

Respondendo de maneira clara e rápida: o password deve ser encriptado na aplicação.

Por que?

Quando a aplicação envia os dados para o servidor, nada impede que esses dados não sejam lidos ou interceptados no meio do caminho, como por exemplo, um ataque Man in the middle. Quando esses dados transitam pela rede em plain text qualquer pessoa pode lê-la sem muitas dificuldades.

Mas e se a comunicação for feita usando https?

Com o uso do https entre serviços, é garantido a criptografia das mensagens trocadas entre os pontos, desde que os certificados e protocolos envolvidos estejam atualizados e operantes.

Por fim, o ideal seria a troca de mensagens usando criptografia end-to-end, como bem citou o @Maniero em sua resposta. Porém, devido ao alto custo e complexidade, se torna um pouco difícil de aplicar. Então, para o seu cenário, uma solução próxima do ideal seria: as informações partiriam do app já criptografadas diretamente para o seu servidor que usa o https.

1
  • obrigado pela resposta
    – Pedro
    Commented 24/08/2017 às 16:20

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .