L'app Gmail su Web Gmail è più sicura?

3

L'utilizzo di Web Gmail tramite l'app Gmail è più sicuro, ad esempio, vedi le seguenti opzioni:

  • Android Google Chrome o Android
  • Windows Google Chrome o Windows Universal App
  • MacOS Safari o applicazione App Store MacOS
  • Applicazione iOS App Store iOS o iOS
  • Linux Google Chrome o Linux Desktop App?

Sarebbe vero per altre applicazioni supponendo che ogni app memorizzasse i suoi dati nella propria directory e usasse sandbox standard (su Linux ce ne sono di più, su Windows principalmente app universali)?

Ad esempio, Google Maps per Linux è costruito utilizzando Epiphany che utilizza la propria cartella e la sandbox può essere aggiunto nessun problema.

Si tratta di investigare se si fa un'app dedicata per es. La piattaforma Windows, Linux, MacOS fornirebbe maggiore sicurezza sul browser web, ad esempio l'applicazione bancaria.

    
posta Aria 03.10.2016 - 00:55
fonte

3 risposte

5

Dipende da cosa intendi per sicurezza ... Non appena usi un'applicazione di posta dedicata, mantieni una copia dei messaggi sul client locale. Detto diversamente, aggiungi un elemento alla catena e la sicurezza globale di una catena è quella del suo elemento più debole.

Detto questo, il lato server di sicurezza è solo un nome utente + una password. Quindi avere una copia locale non aggiunge davvero debolezza, tranne che per la domanda di sicurezza fisica. Se si dispone di un desktop in un edificio protetto correttamente, è probabile che la questione di un furto fisico di posta sia meno importante della questione dell'intrusione fisica. Se utilizzi un telefono o un desktop che porti con te, il rischio di un furto fisico è molto più alto e dovresti utilizzare la crittografia completa del disco.

Per la domanda più generale, la risposta potrebbe variare. Ma comunque un'applicazione multistrato dovrebbe avere almeno un livello di presentazione (web o app), un livello aziendale e un livello di persistenza. Il livello aziendale e di persistenza dovrebbe essere lato server e il kernel delle regole di autorizzazione dovrebbe essere implementato lato server sul livello di servizio. L'autenticazione dovrebbe essere la stessa, e il protocollo tra client e server dovrebbe utilizzare lo stesso livello di protezione (TLS o SSL) con il certificato del server e l'autenticazione del client, così come per la posta, la domanda principale sarà la sicurezza dei dati locali. / p>

Non dimenticare, l'elemento più debole su una catena di sicurezza è spesso l'utente stesso: la password più strong non sarà in grado di proteggere il tuo account se è scritto su un post nella parte inferiore dello schermo. Il contenitore delle password della maggior parte dei browser può essere un grosso rischio se non è protetto da password, e la stessa regola si applica alle applicazioni rich client.

    
risposta data 03.10.2016 - 11:37
fonte
2

TL; DR C'è altro da pensare se si procede con l'app solo verso il browser.

In entrambi i casi, dovrai considerare la sicurezza dell'applicazione sul lato server.

Allo stesso modo, i browser Web e le app dovranno ancora negoziare cose come SSL / TLS. Se segui il percorso dell'app, dovrai anche tenere conto della sicurezza dell'applicazione. Prendi in considerazione il problema come cert-pinning.

In generale, la progettazione del sistema a cui può accedere solo il browser Web mette il 100% della sicurezza sul back-end; mentre un'app trasferisce alcuni dei rischi per la sicurezza dell'applicazione. Le applicazioni possono anche essere decodificate per esporre informazioni sensibili, quindi è necessario prestare particolare attenzione allo sviluppo dell'app e le linee guida di codifica sicure diventano particolarmente importanti ( sono importanti a prescindere, ma ancor più quando vengono fornite all'utente ).

    
risposta data 03.10.2016 - 01:56
fonte
1

In particolare Gmail o applicazioni in generale?

Scendere lungo il percorso web per un'applicazione significa che l'app deve essere protetta contro il Top 10 di OWASP, ad es.

  • Correzione della sessione
  • Scripting del sito
  • Croce falsa richiesta sito
  • Cookie che condividono lo stesso criterio di origine per HTTPS e HTTP
  • clickjacking

Il mio punto è che il web non è sicuro per impostazione predefinita, mentre un'applicazione client dedicata può essere indurita per rimuovere alcune delle insicurezze presenti nell'adozione degli standard web generali. Cioè, il client può essere più semplice in quello che sta facendo, nel senso che farà solo richieste API al server, e non sta mescolando il codice UI con dati puri. Ciò non significa che non debba essere scritto in modo sicuro, ma solo che credo che ci siano meno "trucchi" per gli sviluppatori di cui essere vittime.

    
risposta data 04.10.2016 - 13:30
fonte

Leggi altre domande sui tag