Come proteggere un'API REST per le applicazioni mobili?

Question

Sto cercando di aggiungere un'interfaccia REST a Django per un client mobile. Il client mobile utilizzerà JSON su HTTPS. Non sono stato in grado di trovare il modo "migliore" per realizzare questo per i dispositivi mobili. Dalla ricerca in giro, sembra che # 2 sia più favorevole a # 1:

1. Utilizzare l'autenticazione HTTP e stabilire una sessione basata su cookie. Tutte le transazioni avverranno tramite HTTP e i messaggi JSON conterranno solo comandi o dati.
2. Passa il nome utente e la password (crittografati) all'interno di ogni messaggio JSON per tutte le transazioni e non fare affidamento su sessioni basate sui cookie.

Answer 1

Il numero 2 è preferibile e, anziché eseguire il rollover, è consigliabile utilizzare l'autenticazione OAuth se possibile. Le librerie client e server sono ora prontamente disponibili per l'uso sulla maggior parte delle piattaforme. Controlla http://oauth.net per i dettagli.

Answer 2

OAuth è eccessivo se non si desidera rendere questi servizi disponibili ad altri sviluppatori (ai quali accederanno per conto degli utenti finali). Meglio andare con l'opzione 2, ma raccomanderei l'uso dell'autenticazione del digest invece dell'autenticazione della password. Combinalo con SSL e sei decisamente a posto.

Answer 3

Fintanto che si utilizza la crittografia effettiva e non base64 o qualche algoritmo di offuscamento locale, # 2 è soddisfacente e dandy. Potresti anche prendere in considerazione il percorso seguito da molte aziende, che vincola una chiave API a un nome utente.

Answer 4

Si consiglia di inviare prima il nome utente/password con una chiamata di accesso. Il JSON restituirà un authToken o accessToken che il dispositivo mobile invierà per tutte le chiamate successive. Verificherete quindi che authToken sia valido. Questo è l'approccio adottato da molte API. Nel loro database collegheranno la chiave API all'account utente con cui hanno effettuato l'accesso.