Трябва ли да маскирам потребителската тайна на OAuth, съхранявана от приложението за Android?

Истинският въпрос е какво получава един нападател, ако го открадне...

Трябва да направите всичко възможно, за да защитите тайните, но в крайна сметка силно мотивиран хакер винаги може да стигне до тях в инсталирано приложение. Така че това е стойността на тайната срещу трудността на извличането.

Стойността на тайната на клиента е имитирането на приложението. Не дава достъп до потребителски данни. Въпреки това, тъй като Twitter поддържа автоматично издаване на идентификационни данни към предварително одобрени приложения (тяхното влизане с потока на Twitter), нападателят може потенциално да изгради уеб приложение с вашата тайна и да открадне потребителски данни чрез сляпо пренасочване.

Проблемът с внедряването на Twitter е, че те не питат разработчика за естеството на приложението. Ако го направиха, те нямаше да ви издадат тайна като начало и щяха да блокират всеки, който създава уеб приложение, използвайки вашите клиентски идентификационни данни и кражба на данни от потребители, които вече са го одобрили.

Обфускацията е една възможност, но слаба. Преместването на тайната към уеб сървър, действащ като API прокси, е друго, но това просто премества проблема другаде, защото сега вашето приложение трябва да се удостоверява срещу прокси сървъра. Въпреки това, този модел може да бъде сравнително сигурен, ако изисквате потребителите да влизат във вашия сайт (който може да използва, чрез уеб изгледи, Twitter за влизане). По този начин някой, който се опитва да злоупотреби с вашето прокси, ще има нужда от своите потребители да отворят акаунти във вашата услуга, което не е много привлекателно.

Накратко, продължете и го объркайте. Не боли. Обмислете използването и на прокси шаблона. И може би да уведомите Twitter, че техните политики за сигурност „не са страхотни“.

Определено бих прочел този анализ от един от Автори на OAuth, Eran Hammer-Lahav, който цитира друг статия, анализираща тайните проблеми с OAuth на Twitter.

Моят съвет би бил да скриете ключа, така че да не може тривиално да бъде извлечен и трябва да сте в безопасност от злоупотреби и спамъри.

Мнението на Hammer-Lahav е, че OAuth тайните не трябва да се отменят и трябва просто да се използват за събиране на статистика. Надяваме се, че Twitter следва този съвет.

За да скриете своите OAuth секретни ключове в приложението си за Android, можете да използвате приставката gradle, която разработихме. Това е безплатна алтернатива с отворен код на Dexguard. Нашата добавка за скрити тайни-gradle използва оператора NDK и XOR, за да скрие ключовете, за да предотврати обратното инженерство.

По желание можете да предоставите персонализиран алгоритъм за кодиране/декодиране, за да подобрите сигурността на вашия ключ.

Достъп до приставката и всички подробности: https://github.com/klaxit/hidden-secrets-gradle-plugin

Основната точка на 0Auth е, че не съхранявате ценна чувствителна информация на устройството - така че е добре да съхранявате тайна на устройството (много по-добре от идентификационните данни на реалния потребител). В случай, че тайните на вашето устройство бъдат откраднати, потребителят винаги може да анулира достъпа, без да е необходимо да променя своите идентификационни данни