如何防止对 API Key 和 API Secret 的 MITM 攻击？

Posted 2023-03-15

技术标签:

【中文标题】如何防止对 API Key 和 API Secret 的 MITM 攻击？【英文标题】：How to prevent MITM attacks on API Key and API secret? 【发布时间】：2021-12-02 09:59:41 【问题描述】：

有人会如何防止针对 API 机密/API 密钥的 MITM 类型攻击？ facebook/instagram 如何保护他们的用户免受 MITM 类型的黑客攻击？

他们甚至保护用户吗？或者他们认为任何可能的攻击都应该由用户承担？

【问题讨论】：

HTTPS 可防止中间人攻击。如果您的应用程序进行了正确的证书和主机名验证，那么您将受到保护。但是HTTPS就够了吗？我就是这么说的。如果你怀疑那很好，但你能解释一下你为什么怀疑吗？我不是质疑 HTTPS 本身，我是在质疑它可以被拦截的情况 【参考方案1】：

我的回答中的一些背景

我假设您的问题是在移动应用程序的上下文中，因此我的回答将说明如何防止服务于移动应用程序的 API 受到中间人攻击以及如何绕过它。

您的 Facebook/Instagram 相关问题

facebook/instagram 如何保护他们的用户免受 MITM 类型的黑客攻击？

他们甚至保护用户吗？或者他们认为任何可能的攻击都应该由用户承担？

这个问题最好由 Facebook/Instagram 的内部人员或在他们的移动应用程序和 API 上做了大量工作的安全研究人员来回答。

很抱歉无法在这里为您解释清楚。

防止中间人攻击

有人会如何防止针对 API 机密/API 密钥的 MITM 类型攻击？

我可以通过对证书公钥使用证书固定来帮助您并快速回复它，我们将在下面进行更详细的介绍。

首先，您需要通过将移动应用配置为仅在 TLS 握手期间与 API 建立连接来保护 HTTPS 通信通道通过移动应用程序，忽略根据设备证书信任存储验证可能仍然有效的任何其他内容。我在Securing HTTPS with Certificate Pinning写的文章中详细介绍了它以及如何实现它：

为了演示如何使用证书固定来保护您的移动应用和 API 服务器之间的 https 流量，我们将使用我在上一篇文章中使用的同一 Currency Converter Demo 移动应用。

在本文中，我们将了解什么是证书固定、何时使用、如何在 android 应用中实现它，以及它如何防止中间人攻击。

要固定什么？

来自同一个article我会引用：

最简单的固定方法是使用服务器的公钥或该公钥的散列，散列公钥是最灵活和可维护的方法，因为它允许证书在服务器中轮换，通过签署新的使用相同的公钥。因此，移动应用程序不必使用新的 pin 更新，因为新证书的公钥的哈希将继续与网络安全配置文件中提供的 pin 匹配。稍后我们将在讨论如何设置证书固定时看到一个示例。