确保移动应用程序的SSL通信安全

Question

我们致力于通过SSL为移动应用程序确保通信安全。不安全的风险之一是让别人从HTTP GET/POST请求中嗅探头信息并获取用户名/密码。但是，我一直想知道，如果移动设备正在通过2G/3G，家庭无线网等交换数据，人们如何能够嗅探网络数据包。在公共WiFi上交换数据时，它只是“不安全”吗？

Answer 1

一旦通过任何网络发送数据，就有可能发生这种“嗅探”，线上有很多点（虚拟或物理）。关于公共无线网络的一点是，它是公开的：D这意味着，任何人都可以访问并且与所有其他用户在同一网络中。这使攻击更容易。但2G/3G并不比公共无线网络脆弱。数据发送到其他空中。它被加密，但是这种加密可能被“黑客入侵”。而且，有很多要点，您的传输数据包通过了，很容易访问流量。例如。周围有交换机，提供所谓的“维护端口”，通过每个数据包传递该交换机。然后，这可以用于维修需要以上...

另一个不错的技术用于海外连接。这里有一些模块，它们“简单地”插在大型海外电缆的顶部，让您观看正在进行的交通。

你看，额外的加密永远不会伤害：D

Answer 2

通过HTTP发送密码首先从来都不是一个好主意，因为哈希密码会更好，或者使用类似的OAuth/

二黑客已经表明，他们可以从连接设备spoof cell phone tower和捕获数据。

另外一个主要问题HTTP response caching，如果您发送格式错误的标头黑客可能会拦截重定向到自己的服务器的数据。

因此，使用SSL（TLS）并检查证书是否有效，不允许任何重定向，您应该没问题。直到下一个大黑客（heartbleed）。

Answer 3

简单尝试始终使用HTTPS，至少。

这是简单和相对保护。