Question

Tengo una duda respecto a la seguridad de una app que pretendo desarrollar.

Quiero desarrollar una APP en Angular o Backbone, con servicios web. Mi pregunta es como hago para que solo las app puedan acceder a esos servicios y no cualquier persona que se meta en mi código, no se si queda clara la duda.

Si el código lo ejecutara en el servidor no hay problema, pero como estas app son todo el código en el lado del cliente me llama la atención.

Saludos

Answer 1

Hola que tal, cualquiera puede acceder a cualquier servicio simulando ser tu app nadie se salva de esto por ejemplo WhatsAPP, con esta API puedes espiar y simular ser la APP móvil :

https://github.com/venomous0x/WhatsAPI

Basicamente cualquier servicio que conecte punto a punto y sobre todo atravéz de una red publica como lo es internet es suplantáble, lo que si puedes hacer es aumentar el nivel de seguridad en el trafico de tus conexiones, y validar las llamadas a tus servicios para evitar cosas como el CSRF o un XSS por mencionar algunos.

Saludos.

Answer 2

Hola Egoitz,

si bien por su naturaleza, toda llamada HTTP se puede realizar desde cualquier dispositivo, hay formas válidas de limitar el uso por terceros:

• no basar la seguridad en un secreto, como podría ser el creer que si no se conoce la URL de la llamada nadie la usará.
• usar HTTPS, para que sea muy dificil sacar conclusiones de cómo funciona viendo el tráfico.
• autentificar la APP como si fuera un usuario. Si la APP tiene un usuario y contraseña que se gestiona para cada dispositivo que la use, podrás detectar tráfico inusual.
• si no se autentifica por usuario, negociar un token que el servidor entregará y que dará contexto a la conexión. Es relativamenet simple enviar un dato del dispositivo para negociar el token y así detectar o bloquear tráfico indeseado.
• al menos tener un token grabado en la app y pasárselo a cada consuta a la API. Confiarás solo en las peticiones que tengan ese dato y es dificil de descubrir si se usa HTTPS.
• si las peticiones no son válidas (no respetan el protocolo de la API) devolver un HTTP 404 para que parezca que nadie responde a esa llamada en vez de mostrar que es inválida.

Dependiendo de la naturaleza de la app, se pueden usar varias o todas estas alternativas a la vez.

Saludos!