3

Есть приложение и есть сервис аутентификации в сети. Хочу сделать правильно аутентификацию на нем, что бы человек введя один раз логин и пароль, не вводил его потом еще раз. В связи с чем есть несколько вопросов.

1)Как правильно сделать - отдельную активити на которой запрашивается логин и пароль, а потом перенаправляется на основную или на главной менять лайаут в зависимости от того, авторизован человек или нет?

2)Как хранить пароль и логин пользователя? Его можно зранить в базе, но это не очен хорошо, т.к. он будет в этом случае хранится в открытом виде. Хранить же просто признак того, что пользователь прошел авторизацию считаю тоже не совсем верно.

Кто сталкивался с подобными задачами, поделитесь опытом.

5
  • Вопрос хороший, только почему вы думаете, что пароль будет храниться в открытом виде только в базе? Его можно зашифровать и поместить куда угодно, а можно шифровать и куда бы вы его не девали, он все равно будет в открытом виде.
    – Dex
    14 апр 2012 в 19:50
  • Не совсем Вас понял. Я должен передать не шифрованный пароль на вход сервису. В связи с чем я могу использовать для шифрования лишь двунаправленные алгоритмы, которые уязвимы по определению и где бы я его не хранил в базе, файле или как то иначе его можно будет всегда прочесть, разве нет?
    – DeMoGargon
    14 апр 2012 в 19:57
  • А сервис аутентификации ваш?
    – Dex
    14 апр 2012 в 20:08
  • 1
    может я и неправ, но, мне кажется шифровать данные у себя на телефоне - это небольшая, но паранойя, т.е. если сервис аутентификации уже готовый, вероятнее всего он поддерживает сервис "римемберМи", т.е. помнит юзера и пускает его по кукам, так как пароль все равно надо будет слать сервису пост-запросом в нешифрованом виде, хранить его на девайсе шифрованым - лишнее.
    – Gorets
    14 апр 2012 в 20:27
  • сервер аутификации мой. Т.е. Вы предлагаете хранить на телефоне пароль в нешифрованном виде и признак того что аутификация была пройдена успешна, для того что бы работать оффлайн. Как только инет появился отсылать нешифрованный пароль на сервак и "уточнять" актуален ли все еще он? Почему шифровать данные на телефоне не гут? Ведь есть javax.crypto.Cipher, как я понимаю он полностью реализует функционал стандартного DES алгоритма.
    – DeMoGargon
    15 апр 2012 в 1:51

1 ответ 1

1

Обычно делается так:

  1. Есть активити аутентификации - где юзер вводит логин/пароль
  2. Есть глобальная переменная которая показывает авторизован юзер или нет.
  3. Если переменная показывает, что юзер неавторизован производится перенаправление на активити аутентификации, иначе продолжается нормальная работа
  4. В БД логин/пароль естественно не хранится :) Надо хранить хэш пароля или пары логин/пароль. При аутентификации вычисляется хэш пароля и сравнивается с сохраненными данными.

Одной из уязвимых точеки такой схемы является - глобальная переменная которая показывает авторизован юзер или нет. Надо предпринимать специальные меры по ее защите - ну например привязкой ее к хэшу, времени, вычислением через шифрование и проч.

3
  • 4) Наверное здесь путаница произошла. У меня есть две бд, одна на стороне сервера, там разумеется хранится хеш пароля хранится, но на стороне приложения если я буду хранить например md5 хеш, то я не смогу востановить пароль для отправки его серверу. за объяснение по активити - спасибо, так и сделаю.
    – DeMoGargon
    15 апр 2012 в 8:56
  • Не понимаю, а зачем хранить хэш пароля локально? Ну выдал вам юзер при входе пароль - сразу же его отсылайте на удаленный сервер. Или я еще чего то не понимаю?
    – Barmaley
    15 апр 2012 в 12:24
  • 1
    @DeMoGargon, вы после регистрации пользователя больше не пользуетесь паролями для сравнения. Вы всегда теперь должны использовать хэш (так как и на клиенте и на сервере вы имеет возможность получить этот самый хэш). Т.е. клиент отправляет хэш (имя польз. + пароль), сервер принимает, сравнивает со тем, что получается у него от тех же переменных.
    – Dex
    15 апр 2012 в 14:04

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.