android - 在 Android 和 IOS 中创建像 facebook 这样的应用程序时应该使用什么样的安全性

Question

我要为 Android 和 IOS 创建一个类似于 facebook 的社交媒体应用程序。我有登录表单，用户需要在其中提供他们的用户名和密码。我的服务器团队正在处理网络服务。

---

• 如何在Android和IOS App中保护uname和password。

• 如何在从移动设备传输到网络服务时保护远程 ie 上的 uname 和 pwd。(我有使用 AES 加密算法的想法)

• 如何在应用程序内保持 webservice url 的安全(android 和 ios)

• 创建此类应用程序时可能会出现哪些缺陷以及如何限制我们的应用程序免受黑客攻击？

• 服务器团队需要实现哪些安全步骤(他们将用 php 编写服务器)。

提前致谢？

Answer 1

将密码保存在钥匙串(keychain)中 (iOS)。

使用 SSL 与服务器通信，使用 POST 作为用户名/密码，Pin 证书。

网络服务 URL 是公开的，任何有网络嗅探器的人都可以看到它。

主要的黑客攻击将针对服务器。越狱可能会危及应用程序。钥匙串(keychain)对越狱相当免疫。

服务器最主要的是他们如何处理用户的个人信息和密码。不要保存密码，只保存它的加盐 SHA 散列。

从多个角度定义您要保护的数据的值(value):用户的角度、对您的值(value)、您的声誉、对攻击者的值(value)。然后将安全性设计到所有角度的最高级别。请记住，高安全性可能会给用户带来痛苦。找到平衡点。

如果您关心安全性，那么只有一个答案:让安全领域专家设计和审查安全性。我的设计和代码总是经过审查。这样的领域专家将在该领域拥有多年的全职安全经验，并可能获得 CISSP 等认证。任何不足都只是一次“不错的尝试”。

安全错误与普通代码错误不同。一个普通的应用程序可能有很多令人讨厌但仍然可用的错误，甚至是一个好的应用程序。一个安全漏洞就没有安全，一个安全漏洞就是攻击者所需要的。