代码之家 › 专栏 › 技术社区 › jabley

作为iPhone应用程序一部分保护API凭据的最佳实践

cryptography security objective-c iphone

jabley · 技术社区 · 15 年前

我构建的应用程序经常需要“社交媒体服务”;例如

对于大多数这些服务,我需要某种类型的API密钥。我正在尝试找出将这些API键包含在应用程序二进制文件中的最佳方法。所需的安全级别取决于恶意攻击者可能进行的攻击。

推特

对于这两种服务,潜在的危害似乎不太大。但对于其他服务来说,情况可能更糟。

我可以将API凭证定义为头中的字符串或代码中的内嵌字符串,但这样会对使用串在应用程序上查看其中的内容。

然后我可以在代码中执行愚蠢的串联/异或操作,以便在内存中重新创建API密钥,攻击者将不得不做更多的工作来恢复二进制文件中的任何密钥。我担心的是,我不是一个密码学家,会在那里制造出一种令人难堪的弱模糊形式。

人们有什么更好的建议?

2 回复 | 直到 15 年前

CodesInChaos 15 年前

即使是SSL也没什么帮助,因为您可以截获接收未加密数据的网络API。

解决这个问题的安全方法是创建自己的服务器,保留服务器端的秘密,并从应用程序中使用自己的服务器,然后服务器转发到其他Web服务。这样攻击者就永远无法访问秘密。

-1

Tony Million 15 年前

一个好建议是不要担心。有很多应用程序以纯文本形式存储其API密钥。关键是您需要大量不同的信息来构造访问令牌。

只要你不将用户名+密码组合以纯文本形式存储在文件系统中,或者不使用ssl/https等通过网络传输它们,那么你就没事了。

推荐文章

MaSc. H. · 大小与阵列大小

1 年前

David 54321 · 我的密码在pyinstaller.exe中安全吗?

2 年前

Duong Duc Nguyen · 如何检测Windows应用程序(.exe)是否正在向外部发送数据?

2 年前

Michael · 某些Windows客户端上的命名管道安全问题

2 年前

al ice · 具有颤振的鲁棒认证

2 年前

adamency · 是否可以从Go二进制文件的源代码中检索字符串?

2 年前

Tricotou · $.get(code_url)执行返回的代码,不使用eval(),也不将其附加到DOM。jQuery安全性失败?

2 年前

AlboSimo · PayPal Api密钥安全

2 年前

Jordan Regan · 仅在响应中保护HTTP cookie,但不保护请求

2 年前

kellerkindt · 不带查询字符串的Apache2 ProxyPass

2 年前