FF 확장자에서 자바 스크립트 코드 보호하기

Question

파이어 폭스 확장 기능의 코드를 보호하기 위해 누군가가 확장 기능을 사용하지 못하게하는 보안 위험이 없다는 서버 호출이 있기 때문에이를 보호하려고합니다. 그것을 암호화하는 방법에 대한 제안?

Answer 1

신뢰할 수있는 비밀이없는 클라이언트 측에서 실행될 예정이라면 기본적으로 보안 취약점이 있습니다.

확장 프로그램에 대해 조금도 알지 못하는 사이에 이것을 설명하는 것이 어렵습니다. 확실한 제안은 사용자 이름/암호를 요청하고, 서버로 (HTTPS를 통해) 인증하고 시간 제한 토큰을 수신 한 다음 해당 토큰을 "dodgy"요청과 함께 제시하는 것입니다. 그래도 올바른 사용자 이름과 암호를 가진 사람을 막을 수는 없습니다 ...

Answer 2

이것은 기본적으로 불가능합니다. "비밀"호출이 들어있는 신뢰할 수없는 클라이언트에게 실행 코드를 제공하고 싶지만 클라이언트가 비밀을 알 수 없습니까? 그렇다면 어떻게 코드를 실행할 것입니까?

어느 시점에서 암호를 해독해야합니다. 즉, 클라이언트가 암호 해독을 수행하는 데 필요한 모든 것을 갖추고 있음을 의미합니다. 즉, 사용자가 암호 해독을 수행하고 확장 프로그램의 악성 버전을 구축 할 수 있음을 의미합니다.

유일한 선택은 취약한 서비스가 공개적으로 노출되지 않도록 재 설계하는 것입니다.

Answer 3

이 유형의 문제를 해결하기 위해 설계된 OAuth의 변형 인 xauth를 사용할 수 있습니다. 트위터는 xauth를 사용합니다 : http://dev.twitter.com/pages/xauth

또한 자바 스크립트 코드를 난독 처리하거나 C로 작성할 수도 있습니다 (NPAPI 플러그인으로).