¿Es una aplicación móvil más segura para el uso móvil que el sitio web "normal"?

No . No hay absolutamente ninguna diferencia.

Al final del día, debe exponer la capacidad de los clientes para consultar información y hacer cambios de estado. Los problemas que una API que usa un dispositivo móvil son muy similares a los problemas que usa una API que usa un navegador javascript / html.

Aún tiene problemas como referencia de objeto directa insegura y sql injection .

Una aplicación web y un navegador web tienen el mismo problema: un atacante puede subvertir los datos que envían o reciben.

No alentaría a un usuario a que use una aplicación en un navegador; lo tomaría de la manera incorrecta en que una empresa intentó forzarme. Puede que no quiera instalar una aplicación, como parte de mi política de seguridad.

Si eres un desarrollador de sitios web que busca proteger a tus usuarios contra el phishing, hay algunos pasos que puedes tomar.

El paso clave que daría es no confiar en las contraseñas . Puede utilizar, por ejemplo, una cookie persistente segura, enviada a través de HTTPS, para autenticar al usuario. La autenticación de certificado de cliente SSL sería otro ejemplo de un método de autenticación de usuario que es resistente a los ataques de phishing porque no se basa en contraseñas. Si lo prefiere, también puede solicitar una contraseña, pero no debe confiar únicamente en una contraseña ingresada en un navegador móvil. Hay dos razones para esto: primero, las contraseñas son phishable y, como usted dice, los mazos se apilan contra los usuarios; y segundo, ingresar las contraseñas en un dispositivo móvil es una mala experiencia para el usuario, dado el estado de la mayoría de los teclados.

Si usted es un usuario que busca protegerse, hay un conjunto diferente de defensas disponibles, como usar una aplicación dedicada, lanzar el sitio desde un marcador y ese tipo de cosas. Sin embargo, probablemente no sea factible que los operadores de sitios web esperen capacitar a todos sus usuarios para que sigan esos pasos.

Sí, en cierto modo, como un móvil puede proteger las sesiones de los usuarios un poco más.

es decir,

• No hay riesgo de phishing, ya que la aplicación móvil solo se conecta a su propia API.
• No hay problemas de dominio cruzado (CSRF, ataques SSL que requieren solicitudes de dominio cruzado como POODLE o BREACH).
• Si no se utilizan los controles web, no hay riesgo de XSS.
• No hay problemas con la Política del mismo origen con las cookies (ya que las cookies HTTPS y HTTP tienen el mismo origen), por lo que las MITM no las pueden envenenar con HTTP simple (consulte esta respuesta para más detalles).

El inconveniente es que el usuario tiene que confiar en usted un poco más, ya que está instalando una aplicación totalmente ejecutable en su dispositivo en lugar de algo tan aislado como una sesión web.