Come proteggere un socket locale?

Question

Come proteggere un socket locale?

#1 da (4 voti)
#2 da (0 voti)

7

Ho creato un servizio scritto in c che viene eseguito sul sistema operativo Android come servizio principale. Ho alcune app Android che comunicano con questo servizio tramite una connessione socket (Java - > C).

Il mio problema è che chiunque può aprire una connessione al mio servizio se sa quale porta sta usando. Le applicazioni non hanno credenziali e funzionano solo nella sandbox Android.

Quali metodi posso utilizzare per provare almeno a evitare che l'app non valida acceda a questo servizio? come il suo host locale ssl non sembra rilevante?

Entrambe le app sono compilate in modo da poter condividere una chiave segreta tra di loro, ma le app Android potrebbero essere decompilate.

Come si possono normalmente proteggere le connessioni client / server sulla stessa macchina?

linux android authorization

posta Lunar 13.08.2015 - 12:10

fonte

2 risposte

Leggi altre domande sui tag linux android authorization

Gmail mi consente di utilizzare la mia vecchia password La chiave di attenzione sicura aumenta davvero la sicurezza?

score 4 · Answer 1

Sembra un'istanza di il Problema XY .

La risposta breve è:

Le tue applicazioni esterne Associa al tuo servizio .
Richiede l'autorizzazione dell'utente, impostata con il tag permesso .
Questo canale protetto viene utilizzato per stabilire l'autorizzazione (ad es. condividere una chiave segreta da utilizzare in uno schema di chiavi simmetriche).

In generale, questo è il modo in cui fornisci le informazioni da un'app e quindi controlli l'accesso a tali informazioni.

La risposta più lunga:

Stai utilizzando il socket per comunicare informazioni dal tuo Servizio ad altre applicazioni, ma questo non è proprio il modo "Android-y" di fare le cose. Android ha un sistema per la comunicazione tra processi che utilizza qualcosa chiamato Intenti . Questo però sta diventando un po 'lontano dalla domanda specifica per la sicurezza, quindi se sei bloccato sui documenti Android, non esitare a chiedere su StackOverflow!

Il risultato è che questo sistema di Intenti e Permessi è lo strumento di Android per limitare l'accesso alle app. Nota che questo differisce dal modello desktop tradizionale (che è basato sugli utenti, piuttosto che sulle applicazioni), perché lo sviluppo mobile è finalizzato a un caso d'uso per singolo utente.

score 0 · Answer 2

Dalla mia lettura del libro Embedded Android sembra che le prese locali siano comunemente utilizzate internamente in Android per fornire servizi hardware, quindi questa architettura non è del tutto fuori dall'ordinario per Android. Le prese locali prendono il permesso della loro directory contenente su Linux:

In the Linux implementation, sockets which are visible in the filesystem honor the permissions of the directory they are in. Their owner, group, and permissions can be changed. Creation of a new socket will fail if the process does not have write and search (execute) permission on the directory the socket is created in. Connecting to the socket object requires read/write permission.

This behavior differs from many BSD-derived systems which ignore permissions for UNIX domain sockets. Portable programs should not rely on this feature for security.

Vedi link