¿Cómo puedo proteger "Data at Rest" solo permitiendo que Service API acceda a ella desde una aplicación móvil

Question

¿Cómo puedo proteger "Data at Rest" solo permitiendo que Service API acceda a ella desde una aplicación móvil

#1 de David (0 votos)

0

¿Cómo puedo proteger los datos en reposo del acceso no autorizado, pero permitiendo que mi aplicación acceda a los datos utilizando la autenticación de usuario a través de HTTPS?

Mi escenario es el siguiente:

Inicie sesión en la aplicación utilizando el ID y la contraseña (la contraseña se halle con MD5)
Después de la autenticación desde el servidor, el usuario carga datos en el servidor
El usuario puede recuperar esos datos usando la aplicación
Toda la transferencia de datos se basa en HTTPS
Los datos del servidor no están cifrados

Mis preguntas son:

Si cifro los datos en la ubicación en el servidor, ¿cómo puedo recuperarlos usando mi aplicación cliente?
¿Hay algún algoritmo que permita que los datos se cifren y que los datos cifrados solo se descifren y se recuperen cuando mi aplicación está intentando recuperar datos?
¿Cómo puedo evitar que los datos sean hackeados si alguien tiene acceso al servidor?

web-application mobile

pregunta Ravikiran 16.06.2014 - 14:53

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-application mobile

OWA + AD Política de bloqueo: bastante la mezcla ¿Cómo ve la víctima las pruebas / inyecciones de mapa de planta?

score 0 · Accepted Answer

Podrías:

Cifrar / descifrar datos en el cliente, entonces el servidor solo está almacenando un blob opaco.
Haga que el cliente transmita una clave que el servidor utiliza para el cifrado / descifrado.

Cualquier algoritmo de cifrado proporciona lo que desea, lo que importa es la administración de claves. Además, si su servidor está comprometido, el cifrado en reposo solo protege contra los adversarios que no pueden manipular su entorno operativo. Si pueden modificar el servidor (que generalmente son capaces de hacer , excepto el acceso a las copias de seguridad, etc.), pueden capturar los datos que entran y salen. En ese caso, solo ayudará el cifrado del lado del cliente.

Y en serio, no uses md5 para las contraseñas. Si está utilizando MD5 para hashes de contraseña, ya ha puesto en riesgo los datos del usuario. Los MD5 filtrados y sin sal son básicamente tan buenos como el texto simple en estos días. scrypt y bcrypt se consideran el estado del arte en el almacenamiento de hash de contraseñas, pero incluso SHA-2 con sal le comprará un lote en comparación con MD5.