je cherche un moyen d'authentifier les utilisateurs de mon application mobile de manière sécurisée. L'application mobile est une application js pure, et utilise le cadre ionique (et donc cordova). L'application ne communiquera avec notre serveur que via L'API REST. Les exigences sont les suivantes:

• le mécanisme doit s'appuyer sur un compte d'affaires autonome (I. le lien vers Google, Facebook ou toute autre API n'est pas une option.)
• L'application va être dans les magasins
• Comme un beaucoup de l'application mobile (Gmail, Facebook, ...) qui ne nécessite pas autant de sécurité que les applications bancaires, l'utilisateur doit être automatiquement authentifié après une première connexion ("remember me" pattern)

Ce que j'ai trouvé:

• utilisation d'autres produits 2

OAuth 2 fournit un token de longue durée appelé "refresh token". J'aimerais l'utiliser avec une date d'expiration fixée à quelque chose comme un an.

Cependant, il semble qu'il n'y a pas d'argument mécanisme pour protéger le jeton. En effet, comme L'indique le commentaire de Jamsheed Kamarudeen sur cette réponsehttps://stackoverflow.com/a/7209263/863581, si le jeton de rafraîchissement, l'id client et l'id secret sont volés (en utilisant sniffing ou en les prenant directement à partir de l'appareil), l'attaquant sera en mesure d'avoir un accès illimité au compte de l'utilisateur... sans aucun moyen, AFAIK, de savoir ce qui se passe.

Renifler pourrait être difficile, parce que, évidemment, toutes les données seront envoyées par connexion sécurisée (SSL), mais il est encore possible, et cela doit être géré, de mon point de vue. En ce qui concerne le deuxième type d'attaque, "les prendre directement à partir de l'appareil", chaque solution que j'ai vu est sur le stockage des données (token ou cookie) sur le stockage local ou le cookie de navigateur (ce poste par exemple Using OAuth2 in HTML5 Web App). Même si l'exemple de ce post est de conseiller de stocker un hachage du jeton refresh, Je ne peux pas voir quel est le but de cela, parce que, comme mention par le commentaire de Mati Cicero, cela n'empêchera pas l'attaquant de pouvoir récupérer un jeton d'accès et avoir, dans mon cas, un accès illimité au compte de l'utilisateur.

de plus, de ce que je peux voir, localstorage et les cookies sont trop faciles à lire. Est-ce suffisant ou devrais-je utiliser le stockage sécurisé natif D'Android/iOS? Même le stockage local ne semble pas suffisant ( https://github.com/phonegap/phonegap/wiki/Platform-Security).

• Utilisation du ressort sécurité

le côté serveur sera implémenté grâce à Spring. Le mecanisme fourni par Spring-security semble être meilleur que celui de OAuth 2 en ce qui concerne le modèle remember me (http://jaspan.com/improved_persistent_login_cookie_best_practice). Cependant, comme je l'ai compris, l'utilisateur final ne sera pas en mesure de se connecter deux fois sur l'application (disons, son mobile personnel et son professionnel). J'avoue que c'est pas un énorme problème, mais encore, il n'est pas parfait. Le plus important, à la fin, nous avons encore des problèmes de sécurité de stockage concernant les cookies/tokens.

c'est la première fois que je cherche un mecanisme de sécurité, donc peut-être que j'ai mal compris un mecanisme, s'il vous plaît faites le moi savoir. Cependant, je suis vraiment surpris de voir comment est-il difficile de trouver le bon processus. Je suis sûr que c'est un problème classique sur toutes les applications mobiles, mais je ne trouve pas de bonne façon de gérer ce problème.

ma question: comme vous pouvez le voir ci-dessus, je n'en ai pas trouvé mecanism sécurisé pour mettre en place ce processus de "connexion automatique" sur une application web mobile. Que dois-je installer? Avez-vous d'autres mécanismes que ceux que j'ai trouvé pour me présenter?