确保与移动应用程序的通信[真实性、隐私和完整性]？

Question

Android/Iphone应用程序将从服务器访问应用程序数据。 [Python]

如何确保与移动应用程序的通信安全？

期望值：对于敏感信息（如密码）来说，安全性足够高，除了强制破解外，不应直接解密。

我的要求：

• 身份验证[仅授权应用程序]
• 完整性[消息之间不应修改]
• 隐私[如果被监听，通信不应可读]

我的努力：

• SSL只验证服务器，而不是客户端。
• 我不能使用对称加密[仅提供隐私]
• 数字签名是不可能的[缺乏隐私]
• PGP完全满足所有3个要求。

问题：

• PGP要求在客户端应用程序上存储密钥。
• 在客户端应用程序上，似乎没有确保密钥安全的可靠方法。
• 如果密钥不在，则PGP或对称加密同样易受攻击。
• 反向工程PGP键或对称键同样困难。
• 在这种情况下，PGP对移动处理器来说是一种无意义的负担。
• OAuth又没用了，因为它还有一个客户机密钥。

那么，我怎样才能/应该在这方面取得进展呢？ 这个行业是如何应对的？

我是否应该实施临时方法：

• 使用简单的SSL并交叉手指？，因为密钥被盗时无法进行身份验证？（只有服务器身份验证可以使用此选项）

更新：

结论是使用AES，因为如果我能保证密钥的安全，那么我就和SSL一样好。 另外，我可以随时更改密钥以提高安全性。 投稿如果你认为有更好的方法，请在投稿前阅读整个帖子。

Answer 1

你在处理坏消息。SSL绝对可以对客户端进行身份验证，但这并不是针对SSL的大部分内容所做的事情，因为协议通常用于保护电子商务站点，在这些站点中，服务器的身份验证很重要，但使用客户端进行身份验证并不重要和/或不可行。您要做的是使用相互验证的SSL，这样您的服务器将只接受来自您的应用程序的传入连接，并且您的应用程序将只与您的服务器通信。

这是高级方法。创建自签名服务器SSL证书并部署到web服务器上。如果您使用的是Android，那么可以使用Android SDK中包含的keytool来实现这一目的；如果您使用的是iOS这样的另一个应用程序平台，那么也可以使用类似的工具。然后创建一个自签名的客户机，并将其作为资源部署到应用程序中包含的自定义密钥库中（keytool也将生成此密钥库）。将服务器配置为需要客户端SSL身份验证，并且只接受生成的客户端证书。将客户端配置为使用该客户端证书来标识自身，并且只接受在服务器上安装的用于该部分的一个服务器端证书。

如果应用程序以外的其他人/事物尝试连接到您的服务器，则不会创建SSL连接，因为服务器将拒绝不显示您已包含在应用程序中的客户端证书的传入SSL连接。

一步一步来回答这个问题要比这里要长得多。我建议分阶段这样做，因为web上有关于如何在Android和iOS中处理自签名SSL证书的资源，包括服务器端和客户端。我的书Application Security for the Android Platform中也有一个完整的介绍，由O'Reilly出版。