7

Estou precisando desenvolver uma API HTTP RESTFull em PHP para servir de autenticação para usuários de uma aplicação Android, o problema é que como é uma aplicação de distribuição pública eu não posso definir nenhuma chave no código como por exempo: chave de autenticação básica, pois corre o risco do código (APK) ser quebrado e a chave descoberta, mas também não posso deixar a API aberta de forma que possa ser acessível de um browser, mas deve ser acessível apenas do meu aplicativo.

O que devo seguir para fazer isto? e como me certificar de que apenas a minha aplicação Android terá acesso a API?

Quero evitar solicitações indesejadas provenientes de outras fontes.

7
  • Do ponto de vista do servidor, ele não tem como saber com certeza que tipo de aplicação fez a requisição HTTP. Dá pra identificar o programa cliente na maioria dos casos pela propriedade user-agent da requisição, mas isso é manipulável e qualquer garotinho de 12 anos desocupado sabe fazer isso. Não perca o sono por causa desse requisito de não poder acessar a API a partir de navegador, pois é uma luta perdida ;) Commented 21/10/2014 às 21:34
  • @Raphaelcastro por um lado é uma API pública mas depois não quer pública. Talvez o conceito esteja um pouco baralhado. Se o seu aplicatovo tem distribuição pública o que significa que pode ser executado em qualquer ponto... Então a sua API tem mesmo de gerir essas requesições que são originárias de qualquer ponto. Precisa de pensar assim...de raíz.
    – chambelix
    Commented 22/10/2014 às 8:27
  • Era o que eu estava pensando, provavelmente é melhor fortalecer a aplicação do lado do servidor que ficar quebrando a cabeça com o lado do cliente. Commented 22/10/2014 às 12:29
  • @RaphaelCastro Isso mesmo. É o servidor que tem de ditar as regras e com as definições a API aparece naturalmente. No entanto lembro que desenvolver um sistema de autenticação de raiz não é tarefa fácil.
    – chambelix
    Commented 22/10/2014 às 17:33
  • infelizmente vou dizer, independente da solução o que você deseja não é possível, em um ponto ou outro o mesmo pode ser quebrado, simulado ou emulado. Chave assimétrica ou simétrica não muda isso. Todas essas técnicas apenas vão dificultar, nunca inibir as ações de alguém com conhecimento e interesse. Nestes casos você deve trabalhar com o tipo de segurança que vale a pena. Não coloque algo muito complexo pois precisa dar manutenção, nem coloque algo sofisticado de mais, pois talvez uma simples key nunca sera vista. Tudo depende do tipo de aplicação e do interesse dos que tem conhecimento. Commented 11/09/2017 às 12:49

2 Respostas 2

7

Acho que você pode definir uma chave no código sim, desde que o algoritmo de criptografia seja assimétrico.

Funciona da seguinte forma: você tem um par de chaves, a pública e a privada. Esses nomes são arbitrários e servem apenas para refletir o fato de que você guarda uma delas apenas para si mesmo. O que importa na criptografia de chave assimétrica é que tudo que você encriptar com a chave pública só pode ser decriptado pela privada (e a depender do algoritmo utilizado, a recíproca também pode ser verdadeira).

Use a chave privada no seu servidor de autenticação e entregue a chave pública na sua aplicação sem medo. Depois que a aplicação cliente encripta as credenciais para enviar para o servidor com a chave pública, só a chave privada - que só você tem - pode decriptar essa informação. Assim você fica despreocupado com relação a gente roubando dados de autenticação enquanto eles trafegam.

7
  • A minha preocupação é com o uso da chave para resgatar dados da API de uma outra aplicação, como por exemplo, uma requisição GET ou POST de um script php que gere a mesma chave pública. O que eu preciso é me certificar que apenas minha aplicação terá a possibilidade de acessar essa API. Commented 21/10/2014 às 19:10
  • 2
    "(...) que gere a mesma chave pública (...)". Eis o problema. Se você mantiver seu vetor de inicialização secreto e usar algo ainda que pseudo-aleatório para gerar seu par de chaves, a chance de alguém gerar a mesma chave pública (e por conseguinte a mesma privada) deve ser menor do que as chances de você ganhar na mega-sena várias vezes seguidas. Commented 21/10/2014 às 19:13
  • Penso o seguinte: Se o código de um APK pode ser quebrado, e se alguem possuir uma cópia deste código, consequentemente não poderá também acessar a API? sendo que a aplicação é de distribuição pública (Qualquer um poderá baixar uma cópia). Commented 21/10/2014 às 19:18
  • Se qualquer um pode baixar uma cópia, que diferença faz para você se o cara está usando o APK que você entregou ou um que ele mesmo montou? Commented 21/10/2014 às 21:30
  • Justamente, o que eu quero fazer é essa diferenciação para que seja evitadas solicitações que possam querer se aproveitar da minha API. Exemplo: (Como o Tinder / Instagram não tem seus dados entregues a uma aplicação "clone" e mal intencionada?) Commented 21/10/2014 às 21:49
0

Infelizmente vou dizer, independente da solução o que você deseja não é possível, em um ponto ou outro o mesmo pode ser quebrado, simulado ou emulado.

Chave assimétrica ou simétrica não muda isso.

Todas essas técnicas apenas vão dificultar, mas nunca inibir as ações de alguém com conhecimento e interesse.

Nestes casos você deve trabalhar com o tipo de segurança que vale a pena. Não coloque algo muito complexo pois precisa dar manutenção, nem coloque algo sofisticado de mais, pois talvez uma simples key nunca será vista. Tudo depende do tipo de aplicação e do interesse dos que tem conhecimento.

Dando apenas uma linha para se guiar, veja como obscurecer seu código. Usar mescla de Java com C também ajuda.

Obscurecer também pode ser usado a nível de API, mas nestes casos você usa algo como o swagger para definir a API, e depois alguma outra solução dependendo da linguagem para embaralhar as requisições.

Use SSL no endpoint dificulta a quebra, se usada junto como GRPC já aumenta o nível de complexidade com ganhos de performance mas com o aumento do gasto na infraestrutura.

Uma solução é usar uma chave em cada versão do APK. Sempre que uma nova versão sair você desabilita o acesso de 1 ou 2 versões anteriores, se juntar isso com o GRPC, e talvez com a geração de 'login' por aplicação instalada, cada uma mantendo uma chave registrada, ou mesmo um próprio login onde você retorne uma chave para ser usada (assimétrica) onde você pode cancelar seletivamente as que desejar.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .