Prévention du vol d'identité des clients de l'API mobile

Question

Nous développons une API REST destinée à être utilisée par deux applications mobiles. Il est important que nous soyons en mesure de faire confiance aux identités de ces applications mobiles. Dans notre conception actuelle, chaque appel API est authentifié avec un paramètre "API Key" et sécurisé avec HTTPS. Je suis préoccupé par le fait que la clé API est intégrée à chaque copie de l'application mobile, ce qui signifie que nous ne pouvons pas la garder secrète. Ce sera sur des milliers de téléphones, et théoriquement n'importe quel hacker avec un éditeur binaire ou un analyseur de trafic HTTP pourrait extraire la clé API et ensuite se poser comme l'une des applications, nous envoyant des demandes que nous n'aurions pas d'autre choix que de faire confiance. Les certificats clients semblent présenter le même risque.

Existe-t-il une architecture qui résout ce problème?

Answer 1

Il est discuté de temps en temps dans différents endroits, y compris StackOverflow. En bref - tout ce que vous avez mis en possession de l'utilisateur n'est plus le vôtre. Bien sûr, vous pouvez brouiller la clé privée, mais je vois au moins trois façons de contourner vos mesures de sécurité. La seule façon de résoudre un problème pourrait être d'utiliser un dispositif cryptographique (carte à puce ou cryptotoken USB) qui garde les clés privées et secrètes et ne les laisse pas sortir, mais avec les ordinateurs de poche, l'utilisation de tels dispositifs est assez compliquée (sinon impossible) du point de vue technique et du point de vue de l'utilisabilité.

Vous pouvez également vouloir reconsidérer votre approche et laisser tout logiciel client utiliser le service étant donné qu'il en paie le coût. Et votre serveur authentifiera les utilisateurs et non les logiciels. Ensuite, le sujet de garder les données de connexion secrètes sera la tâche des utilisateurs.