android - 手机游戏SSL

Question

我正在为手机游戏设计服务器后端。 iPhone 和 Android 与我在 Linux 服务器上的 PHP 脚本进行交互以进行 API 调用。

基本上，手机在注册时“知道”他们的游戏 ID(他们被分配了一个)，现在这就是我用来进行身份验证的内容。例如，如果用户的电话是游戏的主持人(如果他们的 ID 与主持人表中的条目相关联)，他们可以编辑该游戏的规则等。

但是，我发现这并不安全。有人可以轻松地对我的脚本进行 HTTP POST 调用并在游戏中作弊。

我决定实现 SSL 来加密在手机和服务器之间来回传输的消息。我如何找出要购买的 SSL 证书类型？我在哪里可以学习设置？我没有这方面的经验。一些经验丰富的移动开发人员关于什么是最好/最简单/最具成本效益的建议将是非常好的。

Answer 1

您要做的是使用相互验证的 SSL，这样您的服务器将只接受来自您的游戏的传入连接，并且您的游戏应用程序将只与您的服务器通信。由于您同时控制客户端(游戏应用程序)和服务器，因此您无需购买任何东西，但可以依赖自签名证书。

这是高级方法。创建自签名服务器 SSL 证书并部署在您的 Web 服务器上。为此，您可以使用 Android SDK 中包含的 keytool。然后创建一个自签名客户端并将其部署在您的应用程序中作为资源包含在您的应用程序中的自定义 keystore 中(keytool 也会生成它)。您也可以使用 iOS 客户端游戏执行此操作，但我不太确定确切的方法，因为我主要是 Android 开发人员。将服务器配置为需要客户端 SSL 身份验证并且只接受您生成的客户端证书。将客户端配置为使用该客户端证书来标识自己，并且只接受您在服务器上为该部分安装的一个服务器端证书。

如果您的游戏之外的其他人/物尝试连接到您的服务器，则不会创建 SSL 连接，因为服务器将拒绝未提供您应用中包含的客户端证书的传入 SSL 连接。

对此的分步回答比此处保证的要长得多。我建议分阶段执行此操作，因为网络上有关于如何在 Android 和 iOS(服务器端和客户端)中处理自签名 SSL 证书的资源。我的书中也有完整的演练，Application Security for the Android Platform , 由 O'Reilly 出版。