保护要在RESTful上访问的iPhone API的最佳方法是什么？

Question

我正在寻找一些关于如何保护对RESTful API的访问的建议，该API最初由iPhone应用程序使用，但将来会有其他客户端。此API公开的数据必须保持安全，因为它可能包含健康信息。所有访问将通过HTTPS完成。

我在想，我想在安装时要求iphones的预注册，然后在每个请求中还需要某种类型的PIN/密码。因此，在不预先注册电话/客户端的情况下，只知道密码就无法提供访问权限。如果可能的话，我正在考虑将它绑定到iPhone标识符，但不确定它是否会提供任何额外的安全性。iPhone标识符只是另一个信息，它甚至可能不是那个秘密。

因此，有些要求是：

• 在iPhone上使用一些基于引脚的解决方案，但是想要更多的安全性，那么简单的4-6位引脚就可以提供了。
• 密码不能在清空中发送。
• 不受回击攻击
• 设置客户端时，必须在客户端和服务器之间预先交换一些数据是可以的。

Answer 1

我认为，如果应用程序包含医疗记录，您可能希望用户每次使用该应用程序时都进行身份验证，或者至少有某种方式可以按下一条禁用消息，从而使该应用程序在丢失或被盗时失效。如果适用，4-6字符密码(pin)也会与HIPAA有关.

从服务器的角度来看，您可能想把它当作一个标准的web应用程序，并使用一个超时的会话进行基于会话的身份验证和访问，可能在很长一段时间之后，并在超时时重新验证。

Answer 2

您可以在客户端身份验证中使用SSL。如果设备丢失，则可以删除服务器上的证书。尽管如此，还是有一些障碍：

• 还不完全清楚是否/如何在iPhone上进行客户端身份验证SSL --不幸的是，没有多少关于它的文档。看看证书、密钥和信任服务引用
• 您必须为每个设备创建一个私钥。
• 您还必须想出一种安全的方法将私钥传输到设备上。