Amazon SimpeDB - aplikacje - ochrona danych - android, amazon-simpledb, ochrona danych

Korzystam z AWS (usługi Amazon Web), aw szczególności simpleDB do kilku aplikacji na smartfony korzystających z bibliotek klienckich iOS / Android.

Do tej pory dane były bardzo łagodne, więc nie martwiłem się zbytnio o ochronę danych.

Mój następny projekt aplikacji będzie wymagał tabeli / domeny „użytkowników” zawierającej nazwy użytkowników i hasła.

Martwię się o to, że ktoś dokona inżynierii wstecznej wersji aplikacji Java na Androida, wtedy łatwo będzie uzyskać wszystkie dane simpleDB, w tym wszystkie hasła.

podstawowa rzecz TVM (automat z tokenami, gdzietymczasowy token zastępuje poświadczenia AWS, które nie są zawarte w kodzie) nie wydaje się chronić przed tym scenariuszem, więc byłoby wspaniale usłyszeć, co ludzie uważają za zalecane podejście do wykonywania części logowania przy użyciu AWS bez bycia całkowicie niebezpieczny.

Czy tabela haseł jest przechowywana gdzieś / dostępna w inny sposób?

Wszelkie uwagi doceniane, wielkie dzięki.

Odpowiedzi:

Mogę zasugerować dwa sposoby ochrony aplikacji -

Pierwsze podejście:

Możesz przechowywać swój tajny klucz AWS w pliku za pomocąw Twojej aplikacji, która zostanie zaszyfrowana przy użyciu klucza prywatnego. Podczas uruchamiania kod odczyta ten plik za pomocą klucza publicznego i może uzyskać tylko tajny klucz AWS. Pamiętaj o następujących punktach w tym podejściu -

1. Twój kod musi być zaciemniony.
2. Twój tajny klucz musi być zaszyfrowany w pliku, aby uzyskać podwójną ochronę.
3. Twój plik musi być podpisany cyfrowo.

Drugie podejście:

Możesz także stworzyć własną stronę internetową, która to zrobizarządzaj swoimi uwierzytelnieniami użytkownika, a jeśli użytkownik zostanie pomyślnie uwierzytelniony, wyśle ​​klucz tajny AWS po zaszyfrowaniu go kluczem prywatnym, w odpowiedzi na aplikację, a aplikacja użyje tajnego klucza AWS po odszyfrowaniu go za pomocą klucza publicznego. Pamiętaj o następujących punktach w tym podejściu - 1. Twoja odpowiedź musi zostać zwrócona w postaci zaszyfrowanej. 2. Witryna musi być bezpieczna i musi działać na HTTPS. 3. Twój kod musi być zaciemniony.