10

Как можно защитить свое API, чтобы никто не смог в обход приложения отправлять свои запросы на веб-сервис?

Допустим имеем:

1) Веб-сервис/API (к примеру написанный на PHP) по адресу myapi.com (адрес вымышленный)

2) Андроид приложение, которое общается с нашим веб-сервисом.

К примеру, наше приложение обращается к нашему API для получения информации, к примеру по адресу: http://myapi.com/?action=getnews&limit=5

При фильтрации трафика, можно увидеть по какому адресу приложение получает информацию, и соответственно можно самому слать запрос и читать всю информацию как угодно.

Мы можем посылать еще хэш сумму с солью которая известна только веб-сервису и приложению (md5("getnews5blablabla")), и веб-сервис будет ее проверять на валидность.

К примеру запрос стал таким:
http://myapi.com/?action=getnews&limit=5&hash=efd46105a8915cb92df4641d86eb0505

Таким образом, даже узнав куда слать запросы, надо узнать еще саму соль, чтобы знать как генерируется хэш-сумма и отправлять валидные запросы.

Но с андроидом есть проблема получается, ведь любое приложение можно декомпилировать, и соответственно увидеть каким образом генерируется все запросы и вновь появится возможность подделывать их.

3
  • 1
    А чего вы боитесь? Что злоумышленники выпустят альтернативное приложение, которое будет переманивать ваших пользователей? Полностью это побороть не получится, вспомните хотя бы ICQ -- очень многие сидели на альтернативных клиентах.
    – dzhioev
    9 янв 2014 в 22:18
  • Не то что выпустят альтернативу, а то что эта альтернатива может использовать мой API и мои данные из базы накопленные приложением со временем, ну или просто имея неограниченный доступ к API сделать так сказать дамп всей доступной инфы. Но вообще меня пока что только в принципе интересует как можно это реализовать
    – walik
    10 янв 2014 в 8:14
  • Вот для этого и придумали разграничение доступа. В зависимости от токена, который передаёт приложение на сервер, определяется, что это за пользователь. Потом делается проверка, что этот пользователь может делать. Если это админ, он получает полную копию данных. Если просто пользователь - лишь некоторые поля. 2 июл 2015 в 10:20

4 ответа 4

7

Есть вариант завязать аутентификацию на in-app billing через Google Play. То есть делаем так:

  1. Публикуем свою прогу в Google Play и регистрируем там managed in-app item
  2. Юзер покупает данный item и при покупке пишем в developer payload наш случайный хэш (или ключ) сгенерированный аппой и/или веб сервером
  3. Далее перед коннектом с нашим веб API, аппа обязана получить хэш от сервера Google Play и с этим хэшем обратиться к сервису - иначе reject

Естественно можно закэшировать хэш, чтобы каждый раз не бегать к Google Play и проч., но это уже детали.

Общий смысл в том, что появляется доверенный источник между нашей аппой и веб сервисом, которому оба доверяют. Google Play в общем то подходит для этого, поскольку связка наше приложение - Google Play работает железобетонно и реализовано на уровне системного сервиса Android'а - другое приложение не сможет встроиться в эту связку (вернее можно, но очень и очень сложно)

1
  • 2
    @falstaf за что минус? Можете пояснить свою позицию - может я чего-то не то написал?
    – Barmaley
    10 янв 2014 в 13:48
5

Ответ очевиден. Никак. Любая ваша защита будет преодолеваться либо изучением трафика, либо реверсингом приложения и локализацией кода, отвечающего за генерацию этого самого хеша или подписи запроса.

Максимум, что вы сможете сделать — усложнить этот процесс до определённой степени, но не более того. Но тут уже встаёт вопрос о компромиссе между усложнением защиты (и увеличением времени и стоимости разработки самого API и клиентов к нему) и выгодой от получаемого эффекта.

8
  • 1
    Ну я бы не столь писимистичным. Зашить на достаточно большой RSA ключ и украсть этот ключ более "земными" методами будет проще чем подобрать. Даже зная все исходники и трафик. Но с общей идее согласен - ломануть - это вопрос цены, абсолютной защиты не существует
    – Чад
    9 янв 2014 в 18:26
  • 3
    Не совсем вас понял. А в чём проблема этот самый ключ извлечь из приложения, если он в него зашит, и использовать в своём приложении?
    – falstaf
    9 янв 2014 в 18:28
  • А зачем его туда вшивать?!? Это глупо
    – Чад
    9 янв 2014 в 18:32
  • А где вы предлагаете его хранить?
    – falstaf
    9 янв 2014 в 18:35
  • 1
    Насколько я вижу, ТС ничего не писал про пользовательскую авторизацию. Да и даже если бы она и была, как это помешает изучать запросы, отправляемые приложением?
    – falstaf
    9 янв 2014 в 18:38
5

Реализовать веб сервис по протоколу https и базовая аутентификация. Сниффером логин пароль не дёрнут. Т.е. чтобы веб сервис был не публичным - нужна аутентификация. А публичный закрытый сервис - это оксюморон.

UPD

Любую защиту можно сломать. Если у Вас всё так пароинаидально то сделайте такую схему:

Пользователь авторизируется на сервисе по телефону или через веб браузер - ему выдаётся ключ на доступ скажем на пол часа. Приложение просит этот ключ и отдаёт его сервису. Сервис проверяет активен ли ключ и или отвечает или нет. Если нет - приложение просит обновить ключ. Ну и плюс можете зашить на этот ключ генерацию токена на каждый запрос.

Ну и плюс можно добавить на сервис эвристический анализ запросов - если не укладывается в логику работы приложения - то значит запросы левые и не отдавать ничего.

11
  • А логин и пароль вы где предлагаете хранить? В самом приложении? Тогда нет никаких проблем его оттуда извлечь.
    – falstaf
    9 янв 2014 в 18:29
  • Да что же вы всё в приложение то засунуть хотите? Должна быть тайна которую знает лишь сервер и пользователь. Да и то серверу тайну знать не обязательно :-)
    – Чад
    9 янв 2014 в 18:34
  • Ну речь не о пользовательской авторизации. Точнее если она есть предположим, тогда я как злоумышленник могу под видом обычного пользователя зарегистрироваться и со своим логином и паролем слать запросы на сервер дальше как не в чем не бывало. Тут плюс только один - для каждого пользователя можно ограничить кол-во запросов, но это не то что надо и не улучшает ситуацию.
    – walik
    9 янв 2014 в 19:14
  • гм... Ну тогда от положения солнца и луны каждые пять минут менять адрес. Но не обязательно авторизировать как пользователь - например авторизация просто на сервис с некой "ротацией" - даже если сопрёт злоумышленик ключ - его хватит только на время ротации.
    – Чад
    9 янв 2014 в 19:31
  • 5
    я думаю, что если вашу прогу начали декомпилировать, то это уже успех
    – zb'
    9 янв 2014 в 21:09
1

Попробуйте вынести генерацию "соли" из Java кода в код, написанный на C++. Его будет сложнее декомпилировать.

7
  • Интересная мысль, даже не думал что в Андроид приложениях можно подключать библиотеку и вызывать C++ код
    – walik
    10 янв 2014 в 8:47
  • 2
    Это даже упрощает задачу по использованию вашего API. Зачем декомпилировать нативную библиотеку, если можно просто всунуть её, готовую, в своё приложение и повторно использовать?
    – falstaf
    10 янв 2014 в 9:03
  • @falstaf А у этой библиотеки будет открытый API? Просто взять библиотеку и вызвать у неё метод - гениальный бред. 10 янв 2014 в 10:23
  • 2
    Ну да, просто взять библиотеку и вызвать у неё метод. И что мне помешает это сделать?
    – falstaf
    10 янв 2014 в 10:31
  • 1
    > А у этой библиотеки будет открытый API? @Lucky_spirit, если у библиотеки нет открытого API, то что с ней делать?
    – Nofate
    10 янв 2014 в 12:17

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.