모바일 앱의 OAuth 비밀

OAuth 프로토콜을 사용하려면 위임하려는 서비스에서 얻은 비밀 문자열이 필요합니다. 웹 응용 프로그램 에서이 작업을 수행하는 경우 단순히 데이터베이스 또는 파일 시스템에 비밀을 저장할 수 있지만 모바일 응용 프로그램 (또는 그 문제에 대한 데스크톱 응용 프로그램)에서 비밀을 처리하는 가장 좋은 방법은 무엇입니까?

누군가가 쉽게 그것을 찾아 남용 할 수 있기 때문에 앱에 문자열을 저장하는 것은 분명히 좋지 않습니다.

또 다른 방법은 서버에 서버를 저장하고 앱을 실행 시마다 가져와 휴대 전화에 저장하지 않는 것입니다. 앱에 URL을 포함시켜야하기 때문에 이것은 거의 나쁘다.

내가 취할 수있는 유일한 해결책은 먼저 액세스 토큰을 정상적으로 (권장 앱 내에서 웹보기를 사용하여) 얻은 다음 서버를 통해 모든 추가 통신을 라우팅하여 요청 데이터에 비밀을 추가하고 통신하는 것입니다 공급자와. 다시 한 번 저는 보안 멍청한 사람이므로 이에 대한 지식이 풍부한 사람들의 의견을 듣고 싶습니다. 보안을 보장하기 위해 대부분의 앱이 이러한 길이로 가고있는 것처럼 보이지 않습니다 (예 : Facebook Connect는 비밀을 앱의 문자열에 넣는 것으로 가정합니다).

또 다른 점은 비밀이 처음에 액세스 토큰을 요청하는 것과 관련이 있다고 생각하지 않으므로 자체 서버와 관련없이 수행 할 수 있습니다. 나 맞아?

예, 이것은 우리가 직면하고있는 OAuth 디자인의 문제입니다. 우리는 자체 서버를 통해 모든 통화를 프록시하기로 결정했습니다. OAuth는 데스크톱 앱과 관련하여 완전히 플러시되지 않았습니다. OAuth를 변경하지 않고 찾은 문제에 대한 완벽한 해결책은 없습니다.

당신이 그것에 대해 생각하고 왜 우리에게 비밀이 있는지에 대한 질문을한다면, 대부분 앱을 프로비저닝하고 비활성화하는 것입니다. 우리의 비밀이 손상되면 공급자는 실제로 전체 앱만 취소 할 수 있습니다. 우리는 비밀을 데스크톱 앱에 포함시켜야하기 때문에 다소 혼란에 빠집니다.

해결책은 각 데스크톱 앱마다 다른 비밀을 유지하는 것입니다. OAuth는이 개념을 쉽게 만들지 않습니다. 한 가지 방법은 사용자가 직접 비밀을 만들고 데스크탑 앱에 키를 직접 입력하는 것입니다 (일부 페이스 북 앱은 오랫동안 비슷한 작업을 수행하여 사용자가 페이스 북을 만들어 사용자 지정 Quiise를 설정하고 쓰레기). 사용자에게는 좋은 경험이 아닙니다.

OAuth 위임 시스템 제안을 준비 중입니다. 개념은 공급자로부터 얻은 자체 비밀 키를 사용하여 자체 데스크톱 클라이언트 (기본적으로 각 데스크톱 앱마다 하나씩)에 자체 위임 된 비밀을 발급 한 다음 인증 프로세스 중에 해당 키를 최상위 수준으로 보냅니다. 우리에게 전화를 걸어 우리와 다시 확인하는 공급자. 그렇게하면 각 데스크톱 클라이언트에 발급 한 비밀을 취소 할 수 있습니다. (SSL에서 작동하는 방식을 많이 모색). 이 전체 시스템은 타사 웹 서비스에 대한 호출을 전달하는 부가 가치 웹 서비스에 적합합니다.

최상위 공급자가 새로운 위임 된 비밀을 생성 및 취소하는 API를 제공하는 경우 위임 확인 콜백없이 프로세스를 수행 할 수도 있습니다. Facebook은 페이스 북 앱이 사용자가 하위 앱을 만들 수 있도록 허용함으로써 비슷한 일을하고 있습니다.

온라인으로이 문제에 대한 대화가 있습니다.

http://blog.atebits.com/2009/02/fixing-oauth/ http://groups.google.com/group/twitter-development-talk/browse_thread/thread/629b03475a3d78a1/de1071bf4b820c14#de1071bf4b820c14

트위터와 Yammer의 솔루션은 인증 핀 솔루션입니다 : https://dev.twitter.com/oauth/pin-based https://www.yammer.com/api_oauth_security_addendum.html

OAUth 2.0을 사용하면 서버에 비밀을 저장할 수 있습니다. 서버를 사용하여 액세스 토큰을 얻은 다음 앱으로 이동하면 앱에서 리소스로 직접 전화를 걸 수 있습니다.

OAuth 1.0 (Twitter)에서는 API 호출을하기위한 비밀이 필요합니다. 서버를 통한 호출 프록시는 비밀이 손상되지 않도록하는 유일한 방법입니다.

둘 다 서버 구성 요소가 클라이언트를 호출한다는 것을 알고있는 일부 메커니즘이 필요합니다. 이것은 설치 및 플랫폼 특정 메커니즘을 사용하여 서버 호출에서 일종의 앱 ID를 얻는 경향이 있습니다.

(저는 OAuth 2.0 사양의 편집자입니다)

한 가지 해결책은 OAuth 비밀을 코드에 하드 코딩하는 것이지만 일반 문자열은 아닙니다 . 어떤 식 으로든 그것을 난독 처리하십시오-세그먼트로 나누고, 오프셋으로 문자를 이동하고, 회전 시키십시오-이러한 것들 중 일부 또는 전부를하십시오. 크래커는 바이트 코드를 분석하고 문자열을 찾을 수 있지만 난독 화 코드를 이해하기 어려울 수 있습니다.

완벽한 솔루션은 아니지만 저렴한 솔루션입니다.

익스플로잇의 가치에 따라 일부 천재 크래커는 더 긴 길이로 비밀 코드를 찾을 수 있습니다. 이전에 언급 한 서버 측 솔루션의 비용, 크래커가 비밀 코드를 찾는 데 더 많은 노력을 기울일 수있는 인센티브 및 구현할 수있는 난독 화의 복잡성을 고려해야합니다.

응용 프로그램 내부에 비밀을 저장하지 마십시오.

https를 통해 응용 프로그램에서 액세스 할 수있는 서버가 있어야하며 분명히 암호를 저장해야합니다.

누군가가 모바일 / 데스크톱 응용 프로그램을 통해 로그인하려는 경우 응용 프로그램은 요청을 서버로 전달한 다음 비밀을 추가하여 서비스 공급자에게 보냅니다. 그러면 서버는 응용 프로그램이 성공했는지 여부를 알려줄 수 있습니다.

그런 다음 서비스 (페이스 북, 구글, 트위터 등)에서 민감한 정보를 얻으려면 응용 프로그램이 서버에 요청하면 서버는 응용 프로그램에 올바르게 연결되어있는 경우에만 정보를 제공합니다.

실제로 서버에 저장하는 것 외에는 어떤 옵션도 없습니다. 클라이언트 측의 보안은 없습니다.

노트

즉, 이것은 악의적 인 클라이언트로부터 만 보호하지만 악의적 인 사용자로부터의 클라이언트는 아닌 다른 악의적 인 클라이언트 (파이 싱)에 대한 클라이언트는 아닙니다

OAuth는 데스크톱 / 모바일보다 브라우저에서 훨씬 더 나은 프로토콜입니다.

PKCE (Proof Key for Code Exchange) 라는 인증 코드 부여 유형에 새로운 확장이 있습니다 . 그것으로, 당신은 클라이언트 비밀이 필요하지 않습니다.

PKCE (RFC 7636)는 클라이언트 암호를 사용하지 않는 공용 클라이언트를 보호하는 기술입니다.

기본 및 모바일 앱에서 주로 사용되지만이 기술은 모든 공용 클라이언트에도 적용될 수 있습니다. 권한 부여 서버의 추가 지원이 필요하므로 특정 제공자에서만 지원됩니다.

에서 https://oauth.net/2/pkce/

자세한 내용은 전체 RFC 7636 또는 이 짧은 소개를 참조하십시오 .

생각해 볼 점이 있습니다. Google은 도메인을 등록하고 고유 키를 생성하는 웹 앱과 "익명"키를 사용하는 설치된 앱에 대해 두 가지 OAuth 방법을 제공합니다.

어쩌면 나는 독서에서 무언가를 좋아했지만 웹 응용 프로그램의 고유 키를 설치된 앱과 공유하는 것이 공식 설치된 앱 방법에서 "익명"을 사용하는 것보다 더 안전한 것 같습니다.

OAuth 2.0에서는 단순히 클라이언트 측 흐름을 사용하여 액세스 토큰을 얻은 다음이 액세스 토큰을 사용하여 모든 추가 요청을 인증 할 수 있습니다. 그럼 당신은 전혀 비밀이 필요하지 않습니다.

이것을 구현하는 방법에 대한 좋은 설명은 여기에서 찾을 수 있습니다 : https://aaronparecki.com/articles/2012/07/29/1/oauth2-simplified#mobile-apps

OAuth에 대한 경험이 많지 않지만 모든 요청에 ​​사용자의 액세스 토큰뿐만 아니라 응용 프로그램 소비자 키와 비밀도 필요합니까? 따라서 누군가가 모바일 장치를 훔쳐서 데이터를 가져 오려고 시도하더라도 실제로 어떤 작업을 수행하려면 응용 프로그램 키와 비밀이 필요합니다.

나는 항상 OAuth의 의도는 매시업을 한 모든 Tom, Dick 및 Harry가 트위터 자격 증명을 명확하게 저장할 필요가 없도록 생각했다. 나는 그것이 한계에도 불구하고 그 문제를 아주 잘 해결한다고 생각합니다. 또한 실제로 iPhone을 염두에두고 설계되지 않았습니다.

나는 Felixyz에 동의합니다. OAuth는 Basic Auth보다 낫지 만 여전히 모바일 앱을위한 훌륭한 솔루션이 될 수있는 길이 멀다. OAuth를 사용하여 Google App Engine 앱에 대한 휴대 전화 앱을 인증하고 있습니다. 모바일 장치에서 소비자 암호를 안정적으로 관리 할 수 ​​없다는 것은 기본적으로 '익명'액세스를 사용하는 것입니다.

Google App Engine OAuth 구현의 브라우저 승인 단계는 다음과 같은 텍스트가 포함 된 페이지로 이동합니다. "<some-site> 사이트에서 아래에 나열된 제품에 대한 Google 계정에 대한 액세스를 요청하고 있습니다"

YourApp (yourapp.appspot.com)-Google과 제휴하지 않음

기타

사용자 정의 구성표를 사용하여 콜백을 가로채는 경우 Android에서 제공 할 수있는 콜백 URL에 사용 된 도메인 / 호스트 이름에서 <일부 사이트>를 가져옵니다. 따라서 '익명'액세스를 사용하거나 소비자의 비밀이 손상되면 누구나 사용자를 속여 앱에 대한 액세스 권한을 부여하는 소비자를 작성할 수 있습니다.

Google OAuth 인증 페이지에는 '익명', 소비자 비밀 또는 공개 키 사용 여부에 따라 심각도가 3 단계 인 경고가 많이 포함되어 있습니다.

기술적으로 정통하지 않은 일반 사용자에게는 꽤 무서운 것들입니다. 그런 종류의 것들로 가입 완료율이 높을 것으로 기대하지 않습니다.

이 블로그 게시물은 소비자 비밀이 설치된 앱에서 실제로 작동하지 않는 방법을 설명합니다. http://hueniverse.com/2009/02/should-twitter-discontinue-their-basic-auth-api/

또한 모바일 OAuth 인증을위한 솔루션을 고안하고 일반적으로 응용 프로그램 번들 내에 비밀을 저장하려고합니다.

그리고 미친 아이디어가 나에게 맞았습니다. 가장 간단한 아이디어는 이진 안에 비밀을 저장하는 것이지만 어쨌든 난독 화되거나, 다시 말해 암호화 된 비밀을 저장하는 것입니다. 즉, 비밀을 해독하기위한 키를 저장해야한다는 의미입니다. 그러나 이미 OS에있는 키를 사용하십시오. 즉, 키가 응용 프로그램이 아닌 OS에 의해 정의 된 이유는 무엇입니까?

따라서 내 생각을 분명히하기 위해 OS에 의해 정의 된 문자열을 선택한다는 것이 중요합니다. 그런 다음이 문자열을 키로 사용하여 비밀을 암호화하고 앱에 저장하십시오. 그런 다음 런타임 중에 OS 상수 인 키를 사용하여 변수를 해독하십시오. 바이너리로 엿보는 해커는 암호화 된 문자열을 볼 수 있지만 키는 없습니다.

작동합니까?

여기에 모바일 응용 프로그램에 oAuth 정보를 저장하는 안전한 방법에 대한 답변이 있습니다.

https://stackoverflow.com/a/17359809/998483

https://sites.google.com/site/greateindiaclub/mobil-apps/ios/securelystoringoauthkeysiniosapplication

Facebook은 OAuth를 엄격하게 말하지는 않지만 (아직) iPhone 앱에 비밀을 포함시키지 않는 방법을 구현했습니다 ( https://web.archive.org/web/20091223092924/http://wiki). developers.facebook.com/index.php/Session_Proxy

OAuth에 관해서는, 예, 생각할수록 조금 박제입니다. 어쩌면 이것이 해결 될 것입니다.

이러한 솔루션 중 어느 것도 결정된 해커가 자신의 모바일 장치 (또는 에뮬레이터)에서 보낸 패킷을 스니핑하여 http 헤더에서 클라이언트 시크릿을 보지 못하게합니다.

한 가지 해결책은 개인용 양방향 암호화 키 및 알고리즘으로 암호화 된 타임 스탬프로 구성된 동적 비밀을 갖는 것입니다. 그런 다음 서비스는 암호를 해독하고 타임 스탬프가 +/- 5 분인지 확인합니다.

이런 식으로 비밀이 손상 되더라도 해커는 최대 5 분 동안 만 암호를 사용할 수 있습니다.

다른 사람들이 언급했듯이 비밀을 장치에 로컬로 저장하는 데 실제로 문제가 없어야합니다.

또한 Android의 UNIX 기반 보안 모델을 항상 사용할 수 있습니다. 응용 프로그램 만 파일 시스템에 쓰는 내용에 액세스 할 수 있습니다. 앱의 기본 SharedPreferences 객체에 정보를 작성하십시오.

비밀을 얻으려면 안드로이드 폰에 대한 루트 액세스 권한을 얻어야합니다.