是否有可能获得嵌入在移动应用程序中的密钥

Question

我在公共主机上公开了一组休息服务。有些移动应用程序（Android，iOS和Windows）会消耗这些服务。出于身份验证的目的，我使用的密钥已经与这些应用共享，当他们点击服务时，发送的密钥首先与实际密钥匹配，服务仅在密钥匹配时提供。我的问题是，黑客是否有可能对移动应用程序进行逆向工程并获取该密钥（以便他可以滥用Web服务）？如果是，那么这样做有多容易，这个问题的解决方案是什么？

Answer 1

关键是你如何在你的应用程序中保存密钥。现在可以有很多东西

1. 加密密钥
2. 使用progaurd
3. 使用私有但不是默认的共享偏好（如果在首选项中保存密钥）
4. 使用HTTPS而不是HTTP

这些是您可以通过某些方式保护密钥并使其难以扭转过程的过程，但同样没有什么是完全安全的，但我执行这些步骤可以带来很大的不同。

Answer 2

对于iOS，使用钥匙串安全地保存密钥。 Android中有一个Keychain，但它的工作方式有所不同。

使用https保护服务器密钥的换向。

考虑一种身份验证方案，例如CHAP。