У меня есть веб-сервис, который я предлагаю пользователям подключиться к моей базе данных приложений и получить некоторую информацию. Пользователи должны зарегистрироваться для получения ключа API и предоставлять его при отправке запросов. Все работает нормально, но как мне проверить, действительно ли пользователи, которые зарегистрировались для получения ключа, делают запрос, а не кто-то другой, кому он мог дать ключ?
Я думал последние два дня, чтобы придумать решение, но пока ничего.
Вам нужно использовать подписанные запросы. В основном это работает так:
Чтобы избежать повторных атак, вы также можете добавить в микс одноразовые номера и временные метки. Nonce — это просто число, которое клиент должен увеличивать при каждом запросе. Когда вы получаете запрос, вы проверяете, получали ли вы этот одноразовый номер/отметку времени ранее. Если вы это сделали, вы отклоняете запрос (поскольку это, скорее всего, повторная атака). Если нет, вы сохраняете одноразовый номер/метку времени в своей базе данных, чтобы вы могли найти ее позже.
Примерно так подписываются запросы в OAuth. Посмотрите на их пример по ссылке.
Аутентификация вызовов REST API состоит из двух частей. Когда пользователь регистрируется в вашей службе, вы обычно назначаете КЛЮЧ, идентифицирующий этого пользователя. Иногда этого достаточно. Но этот КЛЮЧ можно передать или украсть. В этом случае ваша служба по-прежнему будет считать КЛЮЧ действительным. Теперь, чтобы предотвратить перехват ключей и т. д., вы также будете распространять секретный ключ. Этот ключ никогда не передается с запросом REST API. Этот ключ используется для выполнения одностороннего хэширования запроса API и создания подписи (HMAC).
Эта подпись, а также запрос API (HTTP-запрос в форме URL-адреса) затем отправляются на сервер API. Сервер выполняет одностороннее хеширование URL-адреса и сравнивает его с подписью, используя закрытый ключ этого пользователя. Если они совпадают, «предполагается», что запросчик имеет доступ к закрытому ключу, и, следовательно, запрос действителен.
Чтобы избежать повторных атак, в дополнение к одноразовому номеру (как было предложено предыдущим постером), вы также можете использовать цепочку хэшей.
