security - 防止移动 API 客户端身份盗用

Question

我们正在开发一个可供多个移动应用程序使用的 REST API。我们能够信任这些移动应用程序的身份非常重要。在我们当前的设计中，每个 API 调用都使用“API key ”参数进行身份验证，并使用 HTTPS 进行保护。

我担心的是 API key 嵌入在移动应用程序的每个副本中，这意味着我们无法对其保密。它将存在于数千部手机上，理论上任何拥有二进制编辑器或 HTTP 流量分析器的黑客都可以提取 API key ，然后“冒充”其中一个应用程序，向我们发送我们别无选择只能信任的请求。客户端证书似乎也具有相同的风险。

有没有一种架构可以解决这个问题？

Answer 1

包括 StackOverflow 在内的不同地方不时地对此进行讨论。简而言之——无论你把什么东西交给用户，都不再是你的了。当然，您可以混淆私钥，但我发现至少有三种方法可以绕过您的安全措施。

解决问题的唯一方法可能是使用加密设备(智能卡或 USB 加密 token )来保存私钥和 secret key 并且不会泄露它们，但是对于手持设备来说，使用此类设备是相当复杂的(如果不是不可能的话) )从技术和可用性的角度来看。

此外，您可能需要重新考虑您的方法，并让任何客户端软件在付费的情况下使用该服务。您的服务器将验证用户而不是软件。那么对登录数据保密的主题将是用户的任务。