如何在应用程序的二进制文件中存储秘密 API 密钥？

发布于 2024-10-29 01:05:19 字数 394 浏览 7 评论 0原文

我正在为 Mac OS X 创建一个 Twitter 客户端，并且我有一个消费者秘密。据我了解，我不应该分享这个秘密密钥。问题是，当我将它作为字符串文字放入我的应用程序并使用它时，如下所示：

#define QQTwitterConsumerSecret @"MYSECRETYOUMAYNOTKNOW"

[[QQTwitterEngine alloc] initWithConsumerKey:QQTwitterConsumerKey consumerSecret:QQTwitterConsumerSecret];

它位于我的应用程序二进制文件的数据部分中。黑客可以阅读此内容、反汇编应用程序等等。

有没有安全的方法来存储消费者秘密？我应该加密它吗？

原文

I am creating a Twitter client for Mac OS X and I have a Consumer secret. It's to my understanding I should not share this secret key. The problem is that when I put it as a string literal into my application and use it, like this:

#define QQTwitterConsumerSecret @"MYSECRETYOUMAYNOTKNOW"

[[QQTwitterEngine alloc] initWithConsumerKey:QQTwitterConsumerKey consumerSecret:QQTwitterConsumerSecret];

It is in the data section of my application's binary. Hackers can read this, disassemble the application, etcetera.

Is there any safe way of storing the Consumer secret? Should I encrypt it?

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

墟烟 2024-11-05 01:05:19

没有真正完美的解决方案。无论你做什么，致力于它的人都能够窃取它。

甚至适用于 iPhone/iPad/Android/mac/等的 Twitter。那里有一把秘密钥匙，他们很可能只是以某种方式掩盖了它。

例如，您可以将其分解为不同的文件或字符串等。

注意：使用十六进制编辑器，您可以读取二进制文件中的 ascii 字符串，这是最简单的方法。通过将其分成不同的部分或使用函数调用来创建密钥通常会使该过程变得更加困难。

回复收藏 0 原文

清眉祭 2024-11-05 01:05:19

您可以对其进行 base64 编码以对其进行混淆。或者，更好的主意是生成密钥而不是仅仅存储它 - 编写如下内容：

char key[100];
++key[0]; ... ; ++key[0]; // increment as many times as necessary to get the ascii code of the first character
// ... and so on, you get the idea.

然而，一个真正优秀的黑客无论如何都会找到它；真正保护它不被其他人看到的唯一方法是使用安全哈希函数，但这样你也将无法检索它:)

You could just base64-encode it to obfuscate it. Or, better idea, generate the key instead of just storing it - write something like this:

char key[100];
++key[0]; ... ; ++key[0]; // increment as many times as necessary to get the ascii code of the first character
// ... and so on, you get the idea.

However, a really good hacker will find it no matter what; the only way to really protect it from others' eyes is using a secure hash function, but then you won't be able to retrieve it, too :)

回复收藏 0 原文

年少掌心 2024-11-05 01:05:19

您不应在不单独在您的服务器上运行的应用程序中使用秘密 api 密钥。

即使它完全隐藏......您始终可以窥探通过线路的数据。而且由于它是您的设备，您甚至可以篡改 SSL（中间人使用由自定义 CA 创建的证书，该证书已添加到设备的受信任 CA 列表中）。或者您可以连接到 SSL 库以在实际加密之前拦截数据。

回复收藏 0 原文

走过海棠暮 2024-11-05 01:05:19

一个非常晚的答案...

如果您设置自己的服务器，您可以使用它来帮助您的桌面应用程序获得 Twitter 上用户的授权，而无需共享（即：嵌入）您的密钥。

您可以使用这种方法：

当用户安装您的桌面应用程序时，她必须在 twitter 和您的服务器上注册它
*)
*) 应用程序要求服务器生成令牌请求 URL
*) 服务器将生成的URL发送给应用程序
*) 应用程序将用户引导至授权 URL
*) 用户在 Twitter 上授权您的应用程序并将生成的 PIN 粘贴到其中
*) 使用 PIN，您的应用程序可以获取令牌
*) 所有进一步的通信都使用令牌，并且不涉及您的服务器

注意：应用程序使用服务器的用户凭据（例如：id 和密码）登录到您的服务器。