Devo nascondere il segreto utente OAuth memorizzato dall'app Android?

Question

La mia app Android contiene OAuth secret per l'API di Twitter. Al momento è nel file .properties in formato testo, quindi non ci vuole sforzo per qualcuno per cercarlo in APK.

Devo fare qualche passo per oscurarlo (come, rot13 o memorizzato in codice Java offuscato)? O dovrei davvero evitare di fare qualcosa di simile, poiché creerebbe un falso senso di sicurezza?

In che modo le persone solitamente distribuiscono/archiviano il segreto OAuth nelle app Android? Com'è comune che il segreto venga rubato e abusato?

Answer 1

la vera domanda è che cosa fa un attaccante ottiene di rubarla ...

Si dovrebbe fare del vostro meglio per proteggere i segreti, ma alla fine, un hacker altamente motivato può sempre arrivare a lui in un app installata. Quindi è il valore del segreto contro la difficoltà di estrazione.

Il valore del segreto del client sta impersonando l'applicazione. Non dà alcun accesso ai dati dell'utente. Tuttavia, poiché Twitter supporta l'emissione automatica di credenziali per le app approvate in precedenza (il loro accesso con il flusso di Twitter), un utente malintenzionato può potenzialmente creare un'app Web con i dati segreti e rubare gli utenti utilizzando un reindirizzamento cieco.

Il problema con l'implementazione di Twitter è che non chiedono allo sviluppatore la natura dell'applicazione. Se lo facessero, non ti avrebbero dato un segreto per cominciare e bloccheranno chiunque costruisca un'applicazione web usando le credenziali del tuo cliente e rubando i dati dagli utenti che l'hanno già approvato.

L'offuscamento è un'opzione, ma debole. Spostare il segreto su un server Web che funge da proxy API è un altro, ma questo sposta semplicemente il problema altrove perché ora la tua app deve autenticarsi contro il server proxy. Tuttavia, questo modello può essere ragionevolmente sicuro se si richiede agli utenti di accedere al proprio sito (che può utilizzare, tramite le viste Web, Twitter per accedere). In questo modo, chiunque cerchi di abusare del tuo proxy avrà bisogno che i suoi utenti aprano account sul tuo servizio, il che non è molto allettante.

In breve, andare avanti e offuscare. Non fa male. Prendi in considerazione l'utilizzo anche del modello proxy. E forse far sapere a Twitter che le loro politiche di sicurezza non sono "grandiose".

Answer 2

Il punto principale di 0Auth è che non si memorizzano preziose informazioni sensibili sul dispositivo - quindi è giusto memorizzare il segreto sul dispositivo (molto meglio che le credenziali dell'utente reale). Nel caso in cui i segreti del dispositivo venissero rubati, l'utente può sempre invalidare l'accesso senza necessità di cambiare le sue credenziali

Answer 3

Definirei sicuramente this analysis da uno degli autori OAuth, Eran Hammer-Lahav, che cita un altro article dissecting Twitter's OAuth secret problems.

Il mio consiglio sarebbe quello di offuscare la chiave in modo che non possa essere estratta banalmente e si dovrebbe essere al riparo da emittenti e spammer.

L'opinione di Hammer-Lahav è che i segreti di OAuth non devono essere revocati e devono essere utilizzati solo per la raccolta di statistiche. Spero che Twitter segua questo consiglio.