移动后端安全/保护API

Question

我目前正在设计一个移动应用程序，我对保护后端的安全有一些顾虑，因为后端运行的服务可以让它运行。

我目前的计划是，使用SSL和下面这样的基本工作流：

​

​

生成的令牌过期，因为它确保如果某人实际访问电话/设备，他不能控制用户帐户太长时间，但同时，我不知道为它分配了多长时间，因为我不想每天都要求证书。

我的问题是：

1. 这是个好机会吗？你能再加点别的吗？
2. 当使用移动应用程序时，令牌的理想持续时间是多少？

Answer 1

首先，当您将会话密钥存储在设备上时，您应该加密它。例如，使用共享首选项和加密选项。更多信息：Android SharedPreference security

其次，您可能希望实现"SSL钉扎“机制。这意味着在客户端验证SSL证书。您必须确定接收到的证书是否属于后端。这样您就可以用这种方式保护后端URL和参数。更多信息：https://www.infinum.co/the-capsized-eight/articles/securing-mobile-banking-on-android-with-ssl-certificate-pinning或http://www.thoughtcrime.org/blog/authenticity-is-broken-in-ssl-but-your-app-ha/

第三，你的设计很好。但是，请确定您的会话密钥生成机制是否易受“会话预测”攻击的影响。Prediction