android - 有什么方案可以保证服务端和手机客户端通信的安全？

Question

我的诉求如下:

1. 仅限制来自移动设备(iphone 或 android)的请求，即禁止来自程序或浏览器的请求。
2. 基于 session 的对话。
3. 服务器端可以重新定位发布数据未被其他代理或其他方式修改。
4. 应考虑移动设备可能被黑客入侵的情况。

我对自己需求的一些想法:

• 对应1:我想用RSA，我生成一个key和secret，client用key加密数据，server用自己的secret解密，校验key。但是当手机被黑客攻击时， key 是否被其他人知道。
• 对应3:我想用hmac算法和秘钥为每个请求生成签名。

我的解决方案是否存在任何安全问题？你的是什么？

已更新:抱歉忘了说所有的需求都是基于用户登录的。

Answer 1

1. 你通常不能。您需要让您的移动应用以某种方式向服务器进行身份验证(私有(private)帐户、Google 帐户、SSL 客户端证书等)
2. 定期使用基于 cookie 的 session 。使用可提供真正随机 session ID 并使用 SSL 保护的解决方案，以防止 session 劫持等。
3. 使用 SSL (HTTPS)
4. 不确定那是什么意思。如果您正在进行特定于设备的身份验证，则需要一种撤销帐户的方法，以便无法使用被盗等的电话。

最后但同样重要的是:不要尝试发明安全协议(protocol)。使用 HTTPS，不要认为你可以创建一个安全的解决方案，仅仅因为你读了一本书/博客/文章/教科书关于它。

再次声明:请使用 HTTPS。