2

Estoy desarrollando una app móvil y tengo ciertas dudas de la seguridad al consumir una API permitiendo el cross.

Tengo mi app la cual consume una API PHP con Slim que está en un hosting. Para poder hacer una petición al servidor utilizo un token para la seguridad, el problema es que el método para obtener el token es público, por tanto cualquiera podría solicitar el token y al final no sirve de nada.

En base a esto me surgieron varias dudas que dejo a continuación:

1) Para poder consumir una API que esta en un dominio x desde una app móvil ¿debo permitir el cross o hay otra forma de hacerlo que sea más seguro y no utilizar cross?.

2) Para dejar el método del token más seguro y privado se me ocurría poner otro token generado en la app que sea estático y, básicamente, hacer un if en el servidor preguntado por el token que se envió, pero si alguien ve el código de mi aplicación podría ver el token y no sería seguro. ¿Cómo puedo hacer el método de obtener el token privado sabiendo que necesito los tokens en la app para las peticiones futuras?.

3) Generalmente ¿cómo se hace en el desarrollo de apps moviles para consumir APIs de forma segura y que estas no puedan ser accedidas por terceros?.

Agradecería muchísimo explicar con detalles la duda N°3.

4
  • ¿Cómo ofreces el token? ¿A cualquiera que llame a una URL? ¿Tiene autenticación usuario/contraseña? ¿Has pensado en usar un certificado digital para autenticar al cliente? Y lo más importante: ¿estás usando https en las comunicaciones? el 13 sep. 2018 a las 7:43
  • @OscarGarcia el token si a cualquiera,lo necesito al principio para poder iniciar sesion y que el usuario pueda crear la cuenta , pero como autentifico que la aplicacion que pide el token sea la mia y no de terceros, con el htttps y un certificado digital como funcionan. Por ahora no ocupo https. Pero lo ocupare el 13 sep. 2018 a las 14:59
  • @OscarGarcia y el certificado digital puede funcionar en una app movil ya que no es un navegador. el 13 sep. 2018 a las 15:08
  • El certificado digital es como un token, debe ofuscarse en el código, se puede usar para determinar qué versión de tu aplicación está corriendo el cliente (expidiendo uno por versión) o determinar el usuario, pero en ambos casos requiere el uso de HTTPS, no funciona con HTTP. Echa un vistazo a certificados de cliente en Android. el 13 sep. 2018 a las 20:14

1 respuesta 1

2

1) ¿Debo permitir el cross o hay otra forma de hacerlo que sea más seguro y no utilizar cross?

Habilitar o no CORS (cross-origin resource sharing) para una aplicación Android no tiene sentido si no es una webapp. Se usa principalmente en navegadores web.

2) ¿Cómo puedo hacer el método de obtener el token privado sabiendo que necesito los tokens en la app para las peticiones futuras?

Para empezar, todas las comunicaciones deberían ser https para agregar una capa de seguridad y que no sea sencillo obtenerlos del tráfico de red.

Por norma general las técnicas para guardar en una aplicación un token privado suelen ser ofuscar el código para dificultar la búsqueda decompilando éste, pero no quita que en caliente se pueda rastrear éste cuando se hagan las llamadas al API mediante un depurador.

Todos los token deberían tener un tiempo de vida limitado, de manera que si actualizas tu aplicación puedas cambiarlo y las versiones viajes dejen de funcionar cuando lo desees (cuando impidas su uso).

Además, te sugeriría que ese token privado se use una única vez para solicitar un token de sesión (con un tiempo de vida aún más limitado, a una sesión de pocas horas). De ese modo el token estático es más difícil de rastrear y obtener.

3) ¿Cómo se hace en el desarrollo de apps móviles para consumir APIs de forma segura y que estas no puedan ser accedidas por terceros?

Por norma general esta tarea es muy difícil de llevar a cabo (fíjate en Pokémon GO u otros juegos similares) sobre todo si se usa un único token "grabado a fuego" en la aplicación.

Deberías plantearte usar un método de autenticación que permita rastrear qué usuario o dispositivo móvil está usando (y/o abusando) del API llevando a cabo tareas de auditoría (registrar y contar el número de llamadas al API, por ejemplo).

Usa una clave de aplicación diferente en cada versión publicada de tu aplicación, para poder revocar las antiguas y decidir cuál será la versión mínima que funcionará y, en caso de robo de una clave, limitar el tiempo que será usada.

Usa claves de sesión para limitar el tiempo que la clave de aplicación está en memoria. Las claves de sesión pueden guardarse de manera relativamente segura en Keychain Services en iOS y SharedPreferences en Android cifrando el contenido con bibliotecas de terceros como SecurePreferences o directamente haciendo uso de Keystore (que para eso se creó).

Además de estas técnicas (que son sencillas de implementar) en este enlace te proponen buenas prácticas (más complejas de implementar) como separar el servidor de autenticación del servidor de tu aplicación, usar OAuth para validar tanto usuarios como aplicaciones, etc.

Con lo que te propongo en esta respuesta dificultas mucho el robo y abuso de las credenciales de tu API, pero recuerda que no existe ningún método perfecto y que un atacante con profundos conocimientos de tu sistema podría seguir obteniendo acceso atacando el eslabón más débil, que podría ser el propio protocolo HTTPS.

Por ejemplo, simplemente instalando un certificado CA en su propio dispositivo para hacer un ataque man-in-the-middle a las peticiones HTTPS si no haces certificate pinning.

2
  • pero si no habilito el cors como hara las peticiones la app si no esta en el dominio donde se encuentra la api, lo rechazaria ? el 13 sep. 2018 a las 15:15
  • Una aplicación nativa realiza peticiones HTTP sin límite. En un navegador, para evitar robo de información y otros problemas de seguridad éste rechaza conexiones contra diferentes orígenes si no cumple con el protocolo CORS. Es decir, es una seguridad para navegadores y páginas web, no para consumidores del API HTTP directos. el 13 sep. 2018 a las 15:19

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.