GData, OAuth 및 iPhone - 액세스 토큰을 처리 할 때 보안 유지

Question

OAuth 액세스 토큰 클라이언트 측 (iPhone)을 받고 사용자 대신 gdata 요청을 만들기 위해 액세스 토큰을 내 서버로 보내고 싶습니다. . 기본적으로 내 질문은,이 안전한가요? 누군가가 연결을 감지하고 액세스 토큰을 꺼내 악의적으로 사용하지 못했습니까?

Google은 '익명'을 소비자 키로 사용하고 HMAC-SHA1 서명 모드를 사용하여 '등록되지 않은'애플리케이션을 인증 할 수 있도록 허용하고 있습니다. 그런 다음 획득 한 액세스 토큰을 서버 쪽에서 전달하여 데이터 조작을 수행합니다. 그것은 훌륭하게 작동하지만 솔루션에 대한 보안 문제가 있습니다.

의견을 보내 주셔서 감사합니다.

Answer 1

서버가 안전합니까? https를 사용하여 요청을 보내고 있습니까? 또한 실제 소비자 키/비밀 키를 등록하려고 등록 중입니까? 액세스 토큰은 그것을 생성 한 소비자 키/비밀에 대해서만 유효합니다. 등록을한다면 보안 수준이 높아질 것입니다 (소비자 키/비밀은 사용자에게만 알려질 것입니다).하지만 앱과 서버 사이의 통신은 보안 연결을 통해 수행해야합니다.