siamo attualmente nella fase di progettazione di un nuovo "Gateway-Server" che vogliamo sviluppare. Il nostro server ha un servizio REST. Il mio compito è trovare opzioni valide per proteggere l'accesso al servizio REST di cui sopra (auth / auth)
Questo server verrà utilizzato in un ambiente aziendale, il che significa che abbiamo un LDAP / Active Directory a nostra disposizione. Le informazioni che fornirò tramite questa API sono di alto valore e dovrebbero essere adeguatamente protette sul dispositivo e sul server. L'app e il back-end saranno utilizzati dai dipendenti, non ci sono utenti pubblici.
Useremo un Application Server (Glassfish) come componente base per il nostro back-end. Voglio usare i meccanismi di sicurezza incorporati perché voglio evitare di inventare le mie soluzioni che probabilmente saranno inferiori.
Qual è la best practice per proteggere il back-end dall'accesso non autorizzato / non autenticato?
O più specificamente:
- Come posso proteggere l'accesso al back-end?
- È un'opzione per trasmettere il nome utente e la password ad ogni richiesta effettuata dal dispositivo mobile al back-end?
- È buona norma convalidare il nome utente / password trasmessi contro l'LDAP?
Bello sapere:
- Il server gateway è dietro un proxy inverso.
- Gli utenti devono autenticarsi con nome utente / password quando vogliono replicare (connettersi al back-end)
- la comunicazione tra dispositivo e backend sarà protetta con TLS
Grazie