सुरक्षा jQuery मोबाइल + Phonegap

Question

मैं स्मार्ट फ़ोन और टेबलेट के लिए विकास HTML 5 में नया हूँ और एक परियोजना एचटीएमएल 5, सीएसएस, jQuery मोबाइल और PhoneGap पर वर्तमान में कर रहा हूँ।

आवेदन सोप वेब सेवा XMLHttpRequest के माध्यम से किया के माध्यम से सर्वर के साथ संचार करता है। और नौसिखिया जानना चाहता हूं कि अगर मुझे प्लगइन, डेटा एन्क्रिप्शन इत्यादि का सहारा लेना है, तो मुझे आवेदन में सुरक्षा जारी करने के लिए क्या चिंताएं हैं, मुझे सुरक्षा के लिए उपयोग करने की ज़रूरत है।

मान्यकरण उपयोगकर्ता नाम और रूप का उपयोग नहीं कर password'm। पृष्ठों के बीच पैरामीटर पास न करें। मैं PHP का उपयोग नहीं कर रहा हूँ। मुझे नहीं पता कि यह कोड की दृश्यता को रोकने के लिए काम करता है क्योंकि मैं एंड्रॉइड और आईओएस के लिए विकास कर रहा हूं।

मेरी अनुभवहीनता। जे एस में वैश्विक चर का उपयोग कर वेब sevice के अन्य तरीकों के लिए उपयोग के लिए उपयोगकर्ता नाम और पासवर्ड को बचाने के लिए provisionally'm लिए

। कृपया इस सुरक्षा समस्या पर सहायता का अनुरोध करें क्योंकि मुझे नहीं पता कि कहां से शुरू करना, जारी रखना और समाप्त करना है।

धन्यवाद!

Answer 1

पर & सुरक्षा उपलब्ध PhoneGap का एक बहुत ही विस्तृत विश्लेषण नहीं है: https://github.com/phonegap/phonegap/wiki/Platform-Security

संक्षेप में, यदि आप के बारे में चिंतित हैं "हवा पर" डेटा के संचरण, एसएसएल के साथ एक सर्वर का उपयोग करें, उसी तरह आप एक वेब अनुप्रयोग में होगा। यदि आप डिवाइस एन्क्रिप्शन के बारे में चिंतित हैं, तो इसे ऑपरेटिंग सिस्टम की डिफ़ॉल्ट सुरक्षा तंत्र में दिया जाता है।

Answer 2

वेबपैप्स के समान सुरक्षा और विचार और कभी भी अपने फोनगैप परियोजनाओं में पार्स, स्टैकमोब, Google या बिंग मानचित्र जैसे एपीआई से निजी कुंजी का उपयोग नहीं करते हैं।

Answer 3

तकनीक का आपका विशेष ढेर किसी अन्य वेब एप्लिकेशन से अलग नहीं है। आप अभी भी बड़ी संख्या में भेद्यता के प्रति संवेदनशील होने जा रहे हैं।

यह की आवाज़ से, आप केवल ग्राहक के पक्ष कमजोरियों है कि आप ध्यान में रखना चाहिए के बारे में चिंतित हैं। यदि ऐसा है, तो आपको कई चीजों को ध्यान में रखना चाहिए।

1. यदि आप HTML5 का उपयोग कर रहे हैं, तो सुनिश्चित करें कि आप जिस स्थानीय एपीआई का उपयोग कर रहे हैं वह सुरक्षित हैं। OWASP में https://www.owasp.org/index.php/HTML5_Security_Cheat_Sheet का पालन करने के लिए सर्वोत्तम प्रथाओं की एक अच्छी सूची है, इनमें से कुछ केवल आपके विशिष्ट एप्लिकेशन पर लागू हो सकती हैं।
2. किसी भी प्रकार की रक्षा जिसे आप एक्सएसआरएफ, या सीएसएस (क्रॉस-साइट स्क्रिप्टिंग या एक्सएसएस) के लिए लागू करने जा रहे हैं, व्यर्थ हो जाएगा। बोर्ड में काम करने वाले एकमात्र प्रकार के बचाव वे हैं जो आवेदन के सर्वर पक्ष (PHP, इस उदाहरण में) पर लागू होते हैं।
3. इसके अलावा, आप डेटा SSL द्वारा ट्रांज़िट में एन्क्रिप्ट किया जा करना चाहते हैं, इस सर्वर (सोप वेब सेवा अंतिम बिंदु) द्वारा नियंत्रित किया जाना चाहिए। इस पूरा नहीं किया जा सकते हैं, तो एक और अधिक जटिल विकल्प अन्य टिप्पणी के साथ निम्नलिखित के लिए WS-सुरक्षा (http://en.wikipedia.org/wiki/WS-Security)

Answer 4

इसके अलावा उपयोग करने के लिए किया जाएगा ... मैं की HTTPS/SSL + उपयोग सुझाव है प्रत्येक अनुरोध के साथ उपयोगकर्ता नाम/पासवर्ड पास करने के दौरान ओथ (या कुछ अन्य टोकन आधारित तंत्र) ... हालांकि सरल HTTP प्रमाणीकरण काम करता है।