Webサービスへのモバイルアプリアクセスの保護（自宅からのアプローチ）

Question

モバイル（iPhone）アプリケーションからアクセスする必要があるHTTPS WebServiceがあります。どちらも私たちによって開発されています。

このサービスへのモバイルアクセスを保護する必要があります。だから私たちはユーザー名/パスワードの資格情報を使用しました。

我々はOAuthを認識していますが、もっと簡単な認証方式が必要です。私たちが考える何

は以下の通りです：

1. モバイルのAppは、ユーザー/リソースの所有者にログインフォームが表示されます。

2. リソース所有者はモバイルアプリケーションの振る舞いにログイン資格情報を入力します。

3. モバイルアプリは、入力として-probably hashed-ユーザ名/パスワードを取得し、HTTP Session Idを返す特別WS法（例えば、「ValidateLogin」）でサーバに接続します。

4. モバイルアプリは、サーバ側から一意のキーであり、安全であり-whichこのHTTP Session Idを持続する - ？後続の要求（ビジネスメソッドを呼び出す）ためサーバーと通信します。

5. クライアントは30分と言うためにサーバーと通信しない場合は、サーバーは403/Session_time_outが（持続HTTP Session Idを削除することがモバイルは、彼はもはや持っていることを自分自身に示していないために送信されますサーバーリソースへのアクセス - そしてそれはサーバーとの通信を終了する必要がある場合には）場合にはそうするように、この場合には

6. を選ぶことができ、 モバイルはサーバーから新しいセッションIDを取得し、サーバーリソースへのアクセスを得るために再びリソース所有者を使用する必要があります。

---

質問は以下のとおりです。

• は、上記のステップが依存するのに十分な良いですしていますか？
• セキュリティの観点からはどう思いますか？
• 他の考え/意見はありますか？

EDIT：それは問題とは本質的に非常にオープンである、と私はそれを念頭に置いて、特定のニーズにこれらの一般的な質問に答えることは困難であると信じているHTTPSのWebサービス

Answer 1

です。

いくつかの具体的な質問にお答えします： 許可されていないクライアントからアプリを保護するにはどうすればよいですか？ SSLとClient side certificatesをご覧ください。

ユーザーの資格情報を安全に管理するにはどうすればよいですか。 iOSのKeychain APIをご覧ください。