Должен ли я запутывать секрет потребителя OAuth, хранящийся в приложении Android?

Настоящий вопрос заключается в том, что злоумышленник получает от кражи...

Вы должны сделать все возможное, чтобы защитить секреты, но, в конце концов, высокомотивированный хакер всегда может добраться до него в установленном приложении. Так что это ценность секрета против сложности извлечения.

Значение секрета клиента олицетворяет приложение. Он не дает никакого доступа к пользовательским данным. Однако, поскольку Twitter поддерживает автоматическую выдачу учетных данных для ранее одобренных приложений (их вход в систему с помощью потока Twitter), злоумышленник потенциально может создать веб-приложение с вашим секретом и украсть пользовательские данные с помощью слепого перенаправления.

Проблема с реализацией Twitter заключается в том, что они не спрашивают разработчика о характере приложения. Если бы они это сделали, они бы не выдали вам секрет и заблокировали бы любого, кто создает веб-приложение, используя ваши учетные данные клиента, и крадет данные у пользователей, которые уже одобрили его.

Запутывание — один из вариантов, но слабый. Перемещение секрета на веб-сервер, выступающий в качестве прокси-сервера API, — это другое, но это просто перемещает проблему в другое место, потому что теперь ваше приложение должно проходить аутентификацию на прокси-сервере. Однако этот шаблон может быть достаточно безопасным, если вы требуете, чтобы пользователи входили на ваш сайт (который может использовать для входа через веб-просмотры Twitter). Таким образом, кому-то, кто попытается злоупотребить вашим прокси-сервером, потребуется, чтобы его пользователи открыли учетные записи в вашем сервисе, что не очень привлекательно.

Короче говоря, иди и запутывай его. Это не больно. Рассмотрите возможность использования шаблона прокси. И, возможно, пусть Twitter знает, что их политика безопасности «не очень хороша».

Я определенно прочитал бы этот анализ одного из Авторы OAuth, Эран Хаммер-Лахав, который цитирует другой статья, посвященная секретным проблемам OAuth в Twitter.

Я бы посоветовал запутать ключ, чтобы его нельзя было извлечь тривиально, и вы были бы в безопасности от мошенников и спамеров.

По мнению Hammer-Lahav, секреты OAuth не должны отзываться и должны использоваться только для сбора статистики. Надеюсь, Twitter последует этому совету.

Чтобы скрыть секретные ключи OAuth в приложении для Android, вы можете использовать разработанный нами плагин Gradle. Это бесплатная альтернатива Dexguard с открытым исходным кодом. Наш плагин hidden-secrets-gradle использует операторы NDK и XOR для запутывания ключей, чтобы предотвратить обратное проектирование.

При желании вы можете предоставить собственный алгоритм кодирования/декодирования для повышения безопасности вашего ключа.

Доступ к плагину и все подробности: https://github.com/klaxit/hidden-secrets-gradle-plugin

Суть 0Auth заключается в том, что вы не храните какую-либо ценную конфиденциальную информацию на устройстве, поэтому можно хранить секрет на устройстве (намного лучше, чем настоящие учетные данные пользователя). В случае кражи секретов вашего устройства пользователь всегда может аннулировать доступ без необходимости менять свои учетные данные.