OAuth2与桌面应用程序安全

Question

OAuth2与桌面应用程序安全

securityoauth-2.0google-drive-apielectrondesktop

6

我有一个基本上是谷歌云端硬盘客户端的Electron应用程序。我打算使用OAuth 2. 然而，Google API要求我注册我的应用程序并生成client_secret。由于这是一个桌面应用程序，我的client_secret存储在服务器上。身份验证URL在服务器上生成并发送给用户。我担心人们可以假装成应用程序并代表我的client_secret执行操作。如果某个恶意意图的人创建未经授权的应用程序并向我的服务器发送请求，他们理论上可以代表我的应用程序执行恶意操作。是否有什么我可以做来缓解这个问题或者这不是个问题吗？编辑：人们只能访问自己的文件。就像他们在drive.google.com上一样（读/写/删除文件）

- Nigel Chen

你能否更新你的问题，解释一下用户是谁以及应用程序将访问哪些Drive资源（例如他们自己的还是别人的）？ - pinoyyid

@pinoyyid，已更新。 - Nigel Chen

2个回答

1

个人建议创建一个代理服务，模仿Google Drive REST API，但实现自己的AAA机制。这样所有的秘密都将安全存储在服务器上，并且您可以添加细粒度访问控制。

- pinoyyid

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- starlight54 · Accepted Answer

编辑：验证请求是否来自您的桌面应用程序而不是它的克隆到您的服务器上，除非您控制其安装位置，否则实际上不太可能，但对于用户程序，您无法控制。您可以设置一些微弱的屏障，但无法提供任何保证。看起来iOS/Android正在朝这方面发展，我想唯一可行的实现方式是操作系统代表您发送经过验证的凭据，这是操作系统级别的支持，而不是应用程序级别的支持。

至于一般的OAuth 2.0身份验证方法...

如果我们按照流程进行，我们可以分析每种授权方法并查看其中的风险。 https://developers.google.com/identity/protocols/OAuth2

https://developers.google.com/identity/protocols/OAuth2WebServer（我认为您属于此类，但这里没有client_secret）
- 仅存在针对客户端凭据的DOS风险。响应始终仅确认并转发到指定的重定向URI，因此可以代表您请求令牌，但只有您的服务器将收到令牌（假设用户代理是合理的），您应处理接收到未知令牌响应的情况。
https://developers.google.com/identity/protocols/OAuth2InstalledApp
- 存在用户安装恶意应用程序的风险。当您丢失client_id、client_secret和redirectUri（无法防止调试设备泄露这些信息）时，任何人都能够代表您创建应用程序。这对移动应用程序来说是一个不幸的问题。目前唯一的防御措施是用户同意屏幕，也就是希望用户通过查看同意屏幕注意到他们被欺骗安装了来自商店而不是您的合法应用程序的恶意应用程序。
  
  我希望在这方面看到更多的工作，也许应用商店可以代表您保存一些凭据，然后确认请求的是您的应用程序，我想这可能涉及一些哈希检查等。
  
  如果我错了，我会更高兴的得到纠正:P
https://developers.google.com/identity/protocols/OAuth2UserAgent
- 与1相同。
https://developers.google.com/identity/protocols/OAuth2ForDevices
- 与2相同。