0

Cordial Saludo,

Quisiera saber si es posible ocultar mi URL en Android para hacer mi aplicación mas segura. Por otro lado quisiera saber que practicas de programación en cuanto a seguridad puedo aplicar en este código. Estaba pensando pasar las peticiones a POST en caso de ser necesario para aumentar la seguridad, no sé cuales son las ventajas adicionales al usar POST.

en PHP lo he realizado con archivos .ini para ocultar las IP y las credenciales de acceso a las bases de datos, pero en Android no sé que puedo implementar para ocultar la información sensible del servidor.

Clase Controlador del objeto:

public class ControladorConductores extends ConexionJSON2 {

String URL = "http://190.254.180.10:8000/BERLINUXERP/model/conductor.php";
String url = "";
String response = "";

public String getConductores() {
    try {
        url = URL + "?dato=getconductores";
        response = doHttpUrlConnectionAction(url);
    } catch (Exception e) {
        e.printStackTrace();
    }
    return response;
}
}

Clase que lee el JSON:

public class ConexionJSON2 {
   public String call(String url) {
    int BUFFER_SIZE = 2000;
    InputStream in = null;
    try {
        in = OpenHttpConnection(url);
    } catch (IOException e) {
        e.printStackTrace();
        return "";
    }
    InputStreamReader isr = new InputStreamReader(in);
    int charRead;
    String str = "";
    char[] inputBuffer = new char[BUFFER_SIZE];
    try {
        while ((charRead = isr.read(inputBuffer)) > 0) {
            String readString = String.copyValueOf(inputBuffer, 0, charRead);
            str += readString;
            inputBuffer = new char[BUFFER_SIZE];
        }
        in.close();
    } catch (IOException e) {
        e.printStackTrace();
        return "";
    }
    return str;
}

public String doHttpUrlConnectionAction(String desiredUrl)throws Exception{
    URL url = null;
    BufferedReader reader = null;
    StringBuilder stringBuilder;
    try{
        url = new URL(desiredUrl);
        HttpURLConnection connection = (HttpURLConnection) url.openConnection();
        connection.setRequestMethod("GET");
        connection.setReadTimeout(15*1000);
        connection.connect();
        reader = new BufferedReader(new InputStreamReader(connection.getInputStream()));
        stringBuilder = new StringBuilder();
        String line = null;
        while ((line = reader.readLine()) != null){
            stringBuilder.append(line + "\n");
        }
        return stringBuilder.toString();
    }
    catch (Exception e){
        e.printStackTrace();
        throw e;
    }finally{
        if (reader != null){
            try
            {
                reader.close();
            }
            catch (IOException ioe)
            {
                ioe.printStackTrace();
            }
        }
    }
}

private InputStream OpenHttpConnection(String url) throws IOException {
    InputStream in = null;
    int response = -1;
    URL url1 = new URL(url);
    URLConnection conn = url1.openConnection();
    if (!(conn instanceof HttpURLConnection))
        throw new IOException("NO HAY UNA Http Connection");
    try {
        HttpURLConnection httpconn = (HttpURLConnection) conn;
        httpconn.setAllowUserInteraction(false);
        httpconn.setInstanceFollowRedirects(true);
        httpconn.setRequestMethod("GET");
        httpconn.connect();
        response = httpconn.getResponseCode();
        if (response == HttpURLConnection.HTTP_OK) {
            in = httpconn.getInputStream();
        }
    } catch (Exception e) {
        e.printStackTrace();
        throw new IOException("Error al conectar");
    }
    return in;
}
}

1 respuesta 1

0

La url ya de por sí es pública así que no tenés ningún beneficio tratando de ocultarla (no tiene sentido). Además por más que la ocultes con un wireshark podes determinar la url sin ningún esfuerzo observando el tráfico.

Respecto de los archivos .ini, te sugiero que los renombres a .php dado que un .php, si todo anda bien, se ejecuta y no se descarga. Un .ini, con todo andando bien, se descarga.

También respecto de los archivos de configuración de php, lo mejor es sacarlos del document root y tenerlos en una carpeta que no esté expuesta en el web server. Y proteger la carpeta con los permisos del filesystem.

Si esto no es posible, está la alternativa del .htaccess (en apache) para prevenir que determinados archivos puedan ser descargados. (ngix también tiene algo similar).

POST se utiliza cuando se envía información nueva a ser guardada en el servidor, aunque también se usa de facto para otras actualizaciones como modificar, o eliminar información. Esto es versus GET que se utiliza apra consultar información.

La diferencia fundamental entre GET y POST es que POST envía la información en el cuerpo del request, vs GET que no tiene cuerpo y envía los datos como parámetros en la URL.

Los parámetros en una URL están más expuestos que en el cuerpo del request. Por ejemplo, usando get, los parámetros quedan visibles en la barra de navegación, y los web servers suelen loguear los requests con sus parámetros (los datos enviados quedan en el log del web server).

Resumiendo: Get para consultar y Post para crear / actualizar y para envío de información sensible.

(Para ser más específico: PUT se usa para reemplazar, PATCH para actualizar parte, y DELETE eliminar.)

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.