3

Estou com dúvida em relação a segurança. Quando quero adicionar data ou receber, faço uma requisição HTTP POST ou GET para o meu servidor, que retorna a resposta em JSON. Supondo que seja um aplicativo que mostre lista de filmes (retornada pelo servidor formato JSON). Como esconder essa requisição do usuário? Pois se usar algum programa de monitoramento de tráfego, ele verá por exemplo:

HTTP://SERVER.COM/GetFilmes.php

Monitorando outros aplicativos, percebo que eles fazem uma requisição apenas pro servidor e não para páginas. (como acima)

Qual seria a melhor forma de evitar que esses dados fiquem disponíveis facilmente para pessoas mal intencionadas?

5
  • Suponhamos que tenho um HTTP GET que retorna se o login e senha do usuário estão corretos(pelo aplicativo)porém um usuário mal intencionado consegue o link da página no servidor que faz a autenticação,e passe a mandar dados para esta página,fora do aplicativo.Como eu poderia fazer uma autenticação dessa sem o usuário saber em qual página no backend é feita ?,como por exemplo(server.com/checkdados.php)
    – saidmrn
    18/12/2017 às 3:31
  • Tenho como exemplo o Ifood,ao abrir,ele retorna uma lista de restaurantes.Porém monitorando o tráfego de dados,não acho uma requisição que eu usaria no meu app como : (ifood.com/webservice/getrestaurantes.php),e sim uma apontando pro servidor deles,mas sem diretório,então fica mais difícil de descobrir de onde está vindo os dados.
    – saidmrn
    18/12/2017 às 3:36
  • Requisição para wsloja.ifood.com.br:443 apenas.
    – saidmrn
    18/12/2017 às 3:38
  • Então se eu usar HTTPS e criptografar o meu aplicativo,o usuário não saberá em qual diretório está sendo feita a requisição ?,saberá apenas o servidor correto ?
    – saidmrn
    18/12/2017 às 3:38
  • Acho que é isso também,irei ativar SSL em meu domínio e testar.Obrigado pela ajuda !
    – saidmrn
    18/12/2017 às 3:48

1 Resposta 1

3

Se está trafegando os dados através do HTTPS, por meio do protocolo SSL ou TLS, todo pacote de dados é encriptado: a requisição em si, o verbo (método), a URL, os headers e os parâmetros.

Por meio de uma aplicação de monitoramento de tráfego, o monitor saberá no máximo o servidor e a porta que se conectou, mas não o caminho dentro do servidor.

Portanto, a requisição para o endereço:

GET https://api.meuservidor.com/confidencial/topsecret/classified?type=007

deve aparentar como:

??? https://api.meuservidor.com:443

De qualquer forma, se está utilizando um navegador, os caminho completo e parâmetros de um GET ainda serão visíveis. Nos outros métodos HTTP não acontece.

1
  • 1
    Testei.Realmente agora na requisição aparece apenas o servidor e a porta.Perfeito !
    – saidmrn
    18/12/2017 às 21:32

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .