android - 标记非敏感数据，以防止从外部来源提交，而不是完全加密？ (移动应用程序提交到服务器)

Question

我想将非敏感数据从移动应用程序提交到服务器。但我不希望外部来源能够提交数据。

我想就使用哈希公式标记请求是否足够提出一些意见。

例如:

MD5(MD5(message)+secretString)

消息将是唯一的，并且来自单一来源的提交之间至少有 10 分钟的间隔(如果请求在此时间之前来自同一来源，它将被拒绝)。这就是为什么我认为不值得为请求的完全加密付出努力，但由于我在这方面没有经验，所以我决定咨询社区。

提前致谢。

Answer 1

该方法看起来不错，但注意事项很少:

• 可以很容易地为应用提取secretString。这里唯一的因素是攻击者的动机。
• 考虑用 SHA-1 替换 MD5。尽管 MD5 中没有致命漏洞，但更改微不足道且更安全。
• 不要将 IP 地址用于“单一来源”保护。移动设备通过运营商网络并共享相对较小的 IP block 。
• 考虑在请求中添加唯一的递增数字以避免重播攻击。