Как защитить api от перехвата?

Question

[deleted-mezhevikin]

Есть приложение на ios (objective-c) и серверная часть на laravel 5 (php).
Как реализовать защиту api от перехвата через сниферы?
Насколько я понял нужно подписывать запрос на клиенте и проверять его на сервере.
Буду благодарен за любые ссылки-туториалы по этой теме.

Comments

[Илья]

А что именно нужно защищать? Передаваемые данные? От чего, от кражи самих данных или от подделки? API работает через https?

[deleted-mezhevikin]

Илья: 1. важно чтобы только официальный клиент имел возможность обращатся к api. 2. через https

Answer 1

[Константин]

Чтобы защититься от снифферов достаточно перейти на HTTPS.
Чтобы ограничить неофициальные клиенты запрос можно подписать. Обычно каким-то образом однозначно сериализуют запрос, хешируют его на клиенте заранее известной солью и передают этот хеш в запросе. Серверу эта соль также известна и он повторяет эти действия, после чего сравнивает полученный с отправленным клиентом.
Но это всё ерунда: при наличии желания и физического доступа к джейлбрейкнотому айфону алгоритм формирования подписи можно выковырять из приложения за разумное время.

Comments

[Илья]

Добавлю только что со стороны клиента подделать можно абсолютно все, и ключ/соль из приложения достать тоже не особая проблема. Чтоб усложнить жизнь неофициальным клиентам можно периодически менять ключи в приложении/на сервере. Но если пользователь будет обновляться с задержками, то это принесет боль и нормальному пользователю.

Как вариант поступать можно наоборот - не запрещать, но отслеживать несанкционированные обращения к api, а потом блокировать их источник.

[Alex M.]

Я считаю что не достаточно переход на просто HTTPS желательно реализовать шифровку данных между клиентом и api.

[Константин]

Alex M.: вероятно "шифрование" а не "шифровку"? Как это поможет, если злоумышленник получит код клиента и восстановит алгоритм шифрования?

[Alex M.]

да верно "шифрование" публичным ключом, так никто не сможет перехватить трафик. и еще зачем шифровать колючем который кому то известен. вшей ключ в приложение и все.

[z0rgoyok]

Alex M.: вся фишка в анализе кода, видимо тут никак не спастись (

Answer 2

[xmoonlight]

CRAM-MD5

Comments

[iMike]

Уязвима

[xmoonlight]

Michael: взять не md5 и с солью... (я же для примера привел...)