Firebase มี back-end ของฐานข้อมูลเพื่อให้นักพัฒนาสามารถมุ่งเน้นไปที่โค้ดฝั่งไคลเอ็นต์
ดังนั้นหากมีคนใช้ firebase uri ของฉัน (ตัวอย่างเช่นhttps://firebaseinstance.firebaseio.com) ให้พัฒนาขึ้นในเครื่อง
จากนั้นพวกเขาจะสามารถสร้างแอปอื่นจากอินสแตนซ์ Firebase สมัครใช้งานและตรวจสอบสิทธิ์ตัวเองเพื่ออ่านข้อมูลทั้งหมดของแอป Firebase ของฉันได้หรือไม่
คำตอบ:
@ แฟรงค์ฟานพัฟเฟเลน
คุณกล่าวถึงการโจมตีแบบฟิชชิง มีวิธีที่จะรักษาความปลอดภัยได้จริง
หากคุณลงชื่อเข้าใช้คอนโซล googleAPIs API Manager คุณมีตัวเลือกในการล็อกผู้อ้างอิง HTTP รายใดที่แอปของคุณจะยอมรับคำขอ
สิ่งนี้ควรอนุญาตให้โดเมนที่อนุญาตพิเศษใช้แอปของคุณเท่านั้น
นอกจากนี้ยังอธิบายไว้ในรายการตรวจสอบการเปิดตัว firebase ที่นี่: https://firebase.google.com/support/guides/launch-checklist
บางทีเอกสาร firebase อาจทำให้มองเห็นได้ชัดเจนขึ้นหรือล็อกโดเมนโดยอัตโนมัติตามค่าเริ่มต้นและกำหนดให้ผู้ใช้ต้องอนุญาตการเข้าถึง?
การที่มีคนรู้ URL ของคุณไม่ใช่ความเสี่ยงด้านความปลอดภัย
ตัวอย่างเช่นฉันไม่มีปัญหาในการบอกคุณว่าธนาคารของฉันโฮสต์เว็บไซต์ที่ bankofamerica.com และพูดถึงโปรโตคอล HTTP ที่นั่น เว้นแต่คุณจะทราบข้อมูลรับรองที่ฉันใช้เพื่อเข้าถึงไซต์นั้นด้วยการรู้ URL นั้นไม่ได้ส่งผลดีใด ๆ
เพื่อรักษาความปลอดภัยข้อมูลของคุณฐานข้อมูลของคุณควรได้รับการปกป้องด้วย:
ทั้งหมดนี้ครอบคลุมอยู่ในเอกสาร Firebase เรื่องความปลอดภัยและกฎซึ่งขอแนะนำเป็นอย่างยิ่ง
ด้วยกฎความปลอดภัยเหล่านี้วิธีเดียวที่แอปของผู้อื่นสามารถเข้าถึงข้อมูลในฐานข้อมูลของคุณคือหากพวกเขาคัดลอกการทำงานของแอปพลิเคชันของคุณให้ผู้ใช้ลงชื่อเข้าใช้แอปของตนแทนที่จะเป็นของคุณและลงชื่อเข้าใช้ / อ่าน / เขียนถึง ฐานข้อมูลของคุณ โดยพื้นฐานแล้วเป็นการโจมตีแบบฟิชชิ่ง ในกรณีนี้ไม่มีปัญหาด้านความปลอดภัยในฐานข้อมูลแม้ว่าอาจถึงเวลาที่ต้องให้หน่วยงานบางส่วนเข้ามาเกี่ยวข้อง
https://tinderclone.firebaseio.com/และhttps://tinderclone.firebaseio.com/profiles.json. เป็นฐานข้อมูล firebase จริง คุณสามารถพัฒนาแอปโดยสร้างแบบฟอร์มสมัครและแบบฟอร์มเข้าสู่ระบบด้วยอีเมล เนื่องจากแอปของฉันอนุญาตให้ทุกคนลงทะเบียนด้วยอีเมลหลังจากที่คุณลงทะเบียนแล้วคุณจะสามารถอ่านข้อมูลทั้งหมดได้หรือไม่ ฉันจะถามคุณอีกคำถามในภายหลัง ขอบคุณ
".read": falseจะป้องกันไม่ให้ใครเห็นข้อมูล คุณอาจต้องการอนุญาตมากกว่านั้นเล็กน้อย แต่ทั้งหมดขึ้นอยู่กับกรณีการใช้งานของคุณ การรักษาความปลอดภัยข้อมูลที่มีการกล่าวถึงในเอกสาร Firebase ในการรักษาความปลอดภัยและกฎระเบียบ
เกี่ยวกับ Auth White-List สำหรับแอปบนอุปกรณ์เคลื่อนที่ซึ่งไม่สามารถใช้ชื่อโดเมนได้ Firebase มี
1) SHA1 fingerprintสำหรับแอพ Androidและ
2) App Store ID and Bundle ID and Team ID (if necessary)สำหรับแอป iOSของคุณ
ซึ่งคุณจะต้องกำหนดค่าในคอนโซล Firebase
ด้วยการป้องกันนี้เนื่องจากการตรวจสอบไม่ได้เป็นเพียงถ้ามีคนมีคีย์ API ที่ถูกต้องโดเมน Auth ฯลฯ แต่ยังคือมันมาจากปพลิเคชันที่ได้รับอนุญาตของเราและdomain name/HTTP referrer in caseของเว็บ
กล่าวว่าเราไม่ต้องกังวลว่าคีย์ API เหล่านี้และพารามิเตอร์การเชื่อมต่ออื่น ๆ จะเปิดเผยต่อผู้อื่นหรือไม่
ต้องการข้อมูลเพิ่มเติมhttps://firebase.google.com/support/guides/launch-checklist