Reply to thread

Message: <blockquote data-quote="jdchathuranga" data-source="post: 29169400" data-attributes="member: 198330">firebase පොඩි ඇප් වලට ලේසියිහැබැයි ලොකු ඇප්ස් වලට ෆයර්බේස් වලින් API හදනවා හරිම අඩුයිසමහර ෆයර්බේස් සර්විස් නං ලොකු ඇප් වලටත් යූස් කරනවා FCM, Analytics, Crashlytics etcහාඩ්කෝඩඩ් API කී ගැන ඔය කියන්නෙAPK එක Decompile  කරලා  string search  එකක් කරලා එහෙම තියන API කී හොයන්න පුලුවන්හැබැයි Oauth 2 යූස් කරලා public client flow එකක් යූස් කරන ඇප් වල client id එක ඇප් එක ඇතුලෙ තියනවා ඒක සෙකියුරිටි රිස්ක් එකක් නෙමයි බැලු බැල්මට ඒකත් කී එකක් වගේහැබැයි client_id, client_secret දෙකම තියනවා නං වැරදි flow එකක් යූස් කරලා තියෙන්නෙ ඒක වැරදියි   Yesbut Android keychain security depend on the hardware features like secure vault etc. but that provides reasonable security compared to user prefphone එක බැකප් කරාම shared pref ටික නිකන්ම ෆයිල් එකක් විදියට තියනවා ඒක පට්ටම insecureJWT එක එන්ක්‍රිප්ට් කරලා නැහැ ඕන කෙනෙක්ට ඩිකෝඩ් කරන්න පුලුවන් ඒක expected, jwt.io කියන්නෙ developer tool එකක්, inspect element වගේ JWT එකේ සෙකියුරිටි එක තියෙන්නෙ එතන නෙමයිjwt එකේ කෑලි තුනක් තියනවා . එකෙන් සෙපරේට් කරලාHEADER.PAYLOAD.SIGNATURE විදියටJWT එක යූස් කරන්නෙ මෙහෙමයිසර්වර් එකේ(jwt එක ජෙනරේට් කරන තැන) private key, public key pair එකක් (or multiple key pairs) තියනවාසර්වර් එක public key එක ඕන කෙනෙක්ට certificate එකක් විදියට ගන්න හරි jwks endpoint එකකින් ඕන කෙනෙක්ට ගන්න පුලුවන් විදියට දීලා තියනවාExample  google's certs : <a href="https://www.googleapis.com/oauth2/v3/certs" target="_blank">https://www.googleapis.com/oauth2/v3/certs</a>ලොගින් එකේදි හරි token එක issue කරද්දි හරි jwt එක private key එකෙන් සයින් කරලා ඒ signature එක තමයි අර jwt signature කෑල්ලෙ තියෙන්නෙ. අපිට public key එකට ඇක්සස් තියන නිසා jwt එකේ signature එක අපිට verify කරන්න පුලුවන්.උදාහරනයක් විදියට අපිට login with google වලින් හම්බුනු jwt එක අර දීපු පබ්ලික් කී යූස් කරලා වෙරිෆයි කරන්න පුලුවන් ඇත්තටම ගූගල් දීපු jwt එකක්ද කියලාඇන්ඩ්‍රොයිඩ්/ios/web ඇප් වලදි කරන්නෙ ලොගින් එකේදි සර්වර් එකෙන් jwt එකක් ඇප් එකට දෙනවා(using refresh token or authorization code or whatever flow)ඇප් එක ඒක කොහේ හරි secure විදියට තියාගෙන ඉන්නවා. මේකට ලොකු වැලිඩිටි ටයිම් එකක් නැති නිසා මේක ලීක් උනත් වැලිඩිටි ටයිම් එකේදි විතරයි යූස් කරන්න පුලුවන්ඒක නිසා තමයි මේ ඇක්සස් ටෝකන් වලට ගොඩක් පොඩි විනාඩි ගානක වැලිඩිටි ටයිම් එකක් දෙන්නෙ.ඇප් එක API එක කතා කරද්දි සර්වර් එකට මේ jwt එක යවනවාසර්වර් එකේදි අනිවාර්යෙන් මේකෙ වැලිඩිටි ටයිම් එක සහ signature validation එක කරන්න ඕන. ඒ දෙකම හරි නං API එක වැඩ කරනවා නැත්තං 401 වගේ එකක් return කරනවාමේකෙදි තව වාසි තියනවා, මේක අපිට jwt එක issue කරපු කෙනා ලඟට යන්නෙ නැතිව වැලිඩේට් කරන්න පුලුවන් මොකද පබ්ලික් කී එකට අපිට ඇක්සස් තියන නිසා, ඕන නං අපිට පුලුවන් වෙන කෙනෙක් දීපු jwt එකකින් අපේ API එකකට ඇක්සස් දෙන්නත් පුලුවන්me flow එකේ කරන common mistake එක තමයි සර්වර් එකේදි validity time එක චෙක් කරාට  signature එක චෙක් කරන්නෙ නැති එක. මේක පට්ටම දරුනු සෙකියුරිටි බග් එකක් වෙනවාමොකද එතකොට අපිට පුලුවන් වෙන කෙනෙක් විදියට jwt එකක් ජෙනරේට් කරලා API access කරන්න. signarure එක අතඇරලා දැම්මොතින් JWT එක කියන්නෙ සරලවම Base64 Encode කරපු JSON එකක්. ඒක නිසා වෙන කෙනෙක් JWT එකක් අරන් එනවා නං අනිවාර්යෙන් ඒක signature + time වැලිඩේට් කරන්න ඕනතව payload එකේ propeties තියනවා ඒවට claims කියලා කියන්නෙවිශේශ claims තියනවාissuer/audience etc etc කියලාතව ටයිප් කරන්න කම්මැලීJWT ගැන ඕන නං එක දිගට පැය 7-8ක් කියලා දෙන්න පුලුවන්</blockquote>

Verification: Hath warak paha keeyada? (hatha wadikireema paha)

Top Bottom