¿Usar cookies/sesiones para la autenticación de aplicaciones móviles?

Question

¿Hay alguna razón por la que no deba utilizar cookies/sesiones para aplicaciones móviles nativas, generalmente usadas por los navegadores, para autenticar con mi servidor y para las siguientes llamadas a la API?

Aclaración: Parece que el método de autenticación de facto en los clientes móviles es un sistema basado en tokens como OAuth/XAuth. ¿Por qué los métodos de navegador tradicionales no son suficientes?

Answer 1

Esto depende de su aplicación (su escenario de amenaza es más exacto).

Algunas de las amenazas más comunes son - escuchas ilegales (-> debe cifrar) - hombre en el medio (-> debe autenticar otra parte) - ... lo que son los suyos? (qué tan segura es su tienda de cookies, ....)

Al principio, una cookie solo contiene un token como prueba de que en algún momento ha realizado una autenticación con éxito. Si la cookie es válida el tiempo suficiente o el transporte no está encriptado, existe una buena posibilidad de que alguien la descubra algún día ...

Además, debe tener en cuenta qué medidas de seguridad adicionales existen, al principio y más importante SSL.

¿Cuál es su método de autenticación (qué credencial necesita un cliente para iniciar sesión)? ¿Tiene la posibilidad de trabajar con autenticación basada en infraestructura PPK o la comunicación es "ad-hoc"?

EDIT

Wrt. a OpenAuth: por lo que he entendido el protocolo, su principal preocupación es la delegación de autenticación. Un escenario en el que autoriza a un agente a realizar una tarea muy específica en nombre de otra identidad. De esta forma, no dispersas tus credenciales en toda la web. Si tiene instalado OpenAuth, un cliente también puede usar el protocolo directamente. Entonces, ¿por qué molestarse en agregar otro? Pero OpenAuth declara explícitamente que con un escenario de cliente directo, nuevamente se encuentra con problemas de seguridad ya que ahora el token está disponible en el dispositivo y debe protegerse en consecuencia (como debe hacer con su cookie).