2

Я пишу android-приложение, клиент для сайта. Остановился на авторизации, стоит серьезный вопрос безопасности. Итак, для начала расскажу как работает на этом сайте авторизация/регистрация через соц. сети (подправьте если тут допущены ошибки). Сначала пользователь делает запрос на my-site.com/oauth_vk, далее сервер шлет запрос с clientID, clientSecret и callbackURL на сервер соц.сети, при успешной авторизации когда пользователь подтвердил разрешение использовать его данные, мы получаем его данные от сервера соц. сети. Среди этих данных есть его ID в соц. сети, по нему мы делаем запрос к бд и понимаем нужно нам зарегать его или просто авторизовать, но в любом случае мы из нашей бд достаем его ID на нашем сайте и хэш для того чтоб записать в куки (для дальнейшей аутентификации по ним).

Этот процесс с моей точки зрения является безопасным, т.к. clientID, clientSecret хранятся на сервере, и подделать запрос не возможно.

Но, ситуация с android-приложением другая. Я написал часть, когда мы уже получили данные юзера из соц. сети в приложении. Далее, надо бы делать запрос на сервер с ID юзера из соц. сети чтоб достать из нашей бд его ID на нашем сайте и хэш для выполнения дальнейших запросов. Здесь я остановился, т.к. любой кто декомпилирует приложение, увидит как получить ID и хэш на сайте используя ID юзера в соц. сети (его не трудно узнать любому), и может таким образом авторизовываться от имени кого угодно. (А так же, он узнает app_id соц. сети).

Это критическая проблема, пока не пойму что делать дальше. Подскажите, как все же правильно реализовать авторизацию на сервере используя android-sdk, чтобы не было таких дыр в безопасности.

2 ответа 2

3

Просто относитесь к Android приложению как к браузерному коду js в плане безопастности. Вы же не кладете в переменные js никаких токенов, верно? Они на сервере, а js ходит к серверу дабы тот выполнял все манипуляции с токенами сам.

Сделайте в Android прилодении тоже самое - пущай оно ломится в сервер и не будет ничем сложнее и уязвимее чем js-код Вашего сайта.

3
  • К примеру я получаю на клиенте accessToken. Далее я его шлю на сервер, как будет выглядеть запрос с этим accessToken'ом к vkontakte для получения какихто данных, или хотябы просто получить инфу от vk о том, действующий ли accessToken или фейковый?
    – sanu
    19 мар 2017 в 11:50
  • У того же VK есть две разные схемы взаимодействия - сервер-oauth-vk и android-oauth-vk. Там у них по документации они отличаются. Лучше всего работать по ровно тем же принципам что и на обычном сайте. Открываете webview для авторизации oauth, человек получает редирект на ваш же сайт (в том же вебвью) там и манипулируете токенами привязанными к его аккаунту на сервере. Т.е. по бест-практике android-app не должен иметь много логики о таких манипуляциях. 20 мар 2017 в 15:12
  • Уже все запилил, есть VKScope.OFFLINE, в андроиде получаем токен для юзера, шлем на сервер (можем по пути выслать данные юзера что отдал нам вк вместе с токеном), на сервере проверяем валидность токена, если ок - авторизуем, нет - шлем ошибку
    – sanu
    21 мар 2017 в 9:59
2

VKScope.OFFLINE и проверка токена на сервере решают задачу!

В андроиде получаем токен для юзера, шлем на сервер (можем по пути выслать данные юзера что отдал нам вк вместе с токеном), на сервере проверяем валидность токена, если ок - авторизуем, нет - шлем ошибку.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.