GData、OAuth and iPhone - アクセストークンを扱う際のセキュリティの維持

Question

クライアント側（iPhone）のOAuthアクセストークンを取得し、アクセストークンを自分のサーバーに送ってユーザーに代わってgdataリクエストを送信したい。基本的に私の質問は、これは安全ですか？誰かが接続を盗聴してアクセストークンを取り出して悪意のあるものを使用できませんでしたか？

Googleでは、「匿名」をコンシューマキーとして使用し、HMAC-SHA1の署名モードを使用して、「未登録」アプリケーションを認証することができます。私は次に取得したアクセストークンをサーバー側に渡してデータ操作を行います。それは素晴らしいですが、私は解決策に関するセキュリティの懸念を持っています。

ご意見ありがとうございます。

Answer 1

サーバーは安全ですか？ httpsを使用してリクエストを発行していますか？また、質問から実際の消費者キー/秘密を得るために登録していますか？アクセストークンは、それを生成したコンシューマキー/シークレットにのみ適しています。あなたが登録するならば、それはあなたの消費者の鍵/秘密があなたにしか知られていないという別のレベルのセキュリティを追加するでしょうが、私はあなたのアプリからあなたのサーバーへの通信を安全な接続で行うべきだと常に提案します。