Всем привет! Кто нибудь знает как запретить использование эндпоинтов на

Question

Всем привет! Кто нибудь знает как запретить использование эндпоинтов на

бекенде всем кроме офф клиентских приложений? (на клиенте моб приложение). Токены доступа не подходят - их можно вытянуть и использовать в сторонних скриптах и тд

#kotlin #programming #russian

0

16.01.2021

16 ответов

11 просмотров

Слава Автор вопроса

Aλex Sokol
я думаю это больше в @android_ru

попробую, спасибо

0

16.01.2021

Andrew Mikhaylov

А как вы представляете себе это иначе, без секретов в клиенте? Так или иначе вам надо подписывать ваши запросы, и где-то должен быть приватный ключ. Сгенерируйте и положите его в кейстор, к примеру, тогда его просто так вытянуть не выйдет.

0

16.01.2021

Yaroslav

Никак :) Если захотят, найдут способ. Все что будет уметь делать приложение, смогуть зареверс инжинирить и повторить, при достаточных навыках.

0

16.01.2021

Алексей Гладков

Сделайте рукопожатие в виде обмена ключами специфическое, которое просто так не повторишь и потом по зашифрованному каналу общайтесь

0

16.01.2021

Сергій Я.

@android_guards

0

16.01.2021

Слава Автор вопроса

Andrew Mikhaylov
А как вы представляете себе это иначе, без секрето...

На клиенте сгенерировать приватный ключ не получится - тогда бекенд не сможет отличить подпись офф клиента от любого другого клиента. Даже есть использовать специфическую соль при генерации, зашитую в приложение, то её можно будет вытянуть. Если приватный ключ получать от бекенда, то любой желающий сможет его также получить

0

16.01.2021

Слава Автор вопроса

Yaroslav
Никак :) Если захотят, найдут способ. Все что буде...

Вот гугл тоже так говорит! По крайнем мере те реурсы что я читал. Я думал что какой нибудь механизм уже придумали

0

16.01.2021

Andrew Mikhaylov

Слава
На клиенте сгенерировать приватный ключ не получит...

Я к тому же. Любой алгоритм хендшейка можно отреверсить, секрет вы не положите в ваш клиент так, чтобы его невозможно было забрать, имеем, что имеем. Не думаю, что с этим возможно что-либо сделать. Но ссылку на релевантный чат выше подсказали, возможно, вам подскажут, где части вашего секрета можно сложить так, чтобы достать его целиком было достаточно трудно.

0

16.01.2021

Павло Гриник

Слава
На клиенте сгенерировать приватный ключ не получит...

А как насчет протокола диффи-хеллмана?

0

16.01.2021

Алексей Гладков

Andrew Mikhaylov
Я к тому же. Любой алгоритм хендшейка можно отреве...

в картинку можно зашить) хитро достаточно не факт что сразу найдут

0

16.01.2021

Алексей Гладков

Andrew Mikhaylov
Я к тому же. Любой алгоритм хендшейка можно отреве...

А так если с такой позиции подходить, то надо всех безопасников увольнять :) Ибо взломают рано или поздно все. Вопрос насколько рано или поздно и в каких количествах. Окей 100% вам никто не гарантирует но обычным диффи-хеллмана вы отсеите 99% кулхацкеров всяких)

0

16.01.2021

Andrew Mikhaylov

Алексей Гладков
А так если с такой позиции подходить, то надо всех...

Ну так известный факт, что защита должна быть чуть-чуть дороже, чем стоимость её вскрытия, исключительно дабы вскрывать было нецелесообразно.

0

16.01.2021

Слава Автор вопроса

Сергій Я.
@android_guards

спасибо за чатик)

0

16.01.2021