Actualmente estamos en la fase de diseño de un nuevo "Servidor Gateway" que queremos desarrollar. Nuestro servidor tiene un servicio de REST. Mi tarea es encontrar opciones viables para proteger el acceso al Servicio REST mencionado anteriormente (auth / auth)
Este servidor se utilizará en un entorno empresarial, lo que significa que tenemos un Directorio Activo / LDAP a nuestra disposición. La información que se me enviará a través de esta API es de gran valor y debe estar adecuadamente protegida en el dispositivo y en el servidor. La aplicación y el backend serán utilizados por los empleados, no hay usuarios públicos.
Vamos a utilizar un servidor de aplicaciones (Glassfish) como el componente base para nuestro backend. Quiero usar los mecanismos de seguridad incorporados, ya que quiero evitar inventar mis propias soluciones que probablemente sean inferiores.
¿Cuál es la mejor práctica para asegurar el backend del acceso no autorizado / no autenticado?
O más específicamente:
- ¿Cómo podría asegurar el acceso al backend?
- ¿Es una opción transmitir el nombre de usuario y la contraseña con cada solicitud realizada desde el dispositivo móvil al backend?
- ¿Es una buena práctica validar el nombre de usuario / contraseña transmitidos con el LDAP?
Es bueno saberlo:
- El servidor de puerta de enlace está detrás de un proxy inverso.
- El usuario debe autenticarse con el nombre de usuario / contraseña cuando quiera replicar (conectarse al backend)
- la comunicación entre el dispositivo y el backend se protegerá con TLS
Gracias