Açık kaynaklı bir masaüstü Twitter istemcisi için OAuth v1 tüketici anahtarını ve sırrını kullanıcıya açıklamadan nasıl saklarım?

Kalın istemci, masaüstü, açık kaynaklı bir twitter istemcisi yapmak istiyorum. OAuth / Twitter sarıcım olarak .NET'i dilim ve Twitterizer olarak kullanıyorum ve uygulamam muhtemelen açık kaynak olarak yayınlanacak.

Bir OAuth belirteci elde etmek için dört bilgi parçası gerekir:

1. Erişim Simgesi (twitter kullanıcı adı)
2. Erişim Sırrı (twitter şifresi)
3. Tüketici anahtarı
4. tüketici mahremiyeti

İkinci iki bilgi, bir PGP özel anahtarı gibi paylaşılmayacak. Ancak, OAuth yetkilendirme akışının tasarlanma şekli nedeniyle, bunların yerel uygulamada olması gerekir. Uygulama açık kaynak olmasa ve tüketici anahtarı / sırrı şifrelenmiş olsa bile, oldukça yetenekli bir kullanıcı tüketici anahtarına / gizli çiftine erişebilir.

Öyleyse sorum şu, bu problemi nasıl çözebilirim? Bir masaüstü Twitter istemcisinin tüketici anahtarını ve sırrını korumak için uygun stratejisi nedir?

Hueniverse'de inmeyi düşündüğüm yolu yansıtan bir cevap buldum . OAuth Web Yeniden Yönlendirme Akışının Ötesinde makalesinde, biri token alışverişi işleminde proxy'lere sahip bir web url'si olan bazı önerilerde bulunulmaktadır. Uygulamamın bu proxy sayfasına kimlik doğrulaması istediğini doğrulamak için bir yol bulmalıyım. Ancak bu mümkün.

Hatalı olabilirim, ancak anahtarları masaüstü veya mobil uygulamalarla açık kaynak kodlu olarak paketlerseniz, erişmek mümkündür. Twitter ve Tumblr gibi hizmetler bizi yalnızca OAuth API'sini kullanmaya zorlarsa, iki seçeneğimiz vardır:

• Her uygulama için bir yetkili proxy servisi kurun
• uygulama ile paket anahtarları

Eski, daha zor ve maliyetlidir, küçük ve açık kaynaklı uygulamalar için mutlaka bakımı yapılmaz. İkincisi, spam gönderenlerin anahtarları çalması üzerine uygulamanın engellenebileceği ve engelleneceği anlamına gelir. Twitter ve Tumblr henüz daha iyi bir seçenek sunmadığı ve tüm açık masaüstü müşterileri olan Açık Kaynaklı müşterileri de dahil ettiği için, "Büyük Balık" anahtarlarını dağıtma ve bunları bir geri dönüş olarak kullanma önerisi var .

Son olarak, her kullanıcıyı API anahtarlarını almaya zorlama seçeneği vardır .

OAuth 1’i tanımlayan RFC 5849’un Bölüm 4.6’sı, Twitter’ın pratikte kullanmasına rağmen, tüketici sırrının asla masaüstü tüketiciler tarafından kullanılmadığını belirtiyor. Nelson Elhage " Sevgili Twitter " da işaret ettiği gibi , Twitter, müşterinin başarısız olamayacak kadar büyük olmaması şartıyla, masaüstü müşterilerin tüketici anahtarlarını sonlandırabilir ve sonlandırabilir. Ancak, OAuth 1'in bir masaüstü veya mobil uygulamada kullanılmasına izin veren iki geçici çözüm vardır.

Bunun bir yolu, Twitter protokolünün tamamını, işlettiğiniz bir sunucu üzerinden proxy yapmaktır. Bu şekilde, tüketici sırrı sunucunuzda kalır. Bu, OAuth 1'in editörü Dick Hardt tarafından önerilen geçici çözümdür. Bu geçici çözüm, bu sunucuyu çalıştırmanın maliyetini karşılamaz.

Diğer bir deyişle, Raffi Krikorian'ın Twitter geliştirme konulu Google grubundaki konuşmasında ve Chris Steipp'in bir Wikipedia posta listesine gönderdiği bir yazıda önerildiği gibi , her kullanıcının "masaüstü uygulamanızın kopyasını kendi müşterisi olarak kaydetmesini" sağlamaktır. Sonra kullanıcı, yeni kayıtlı tüketici anahtarını ve tüketici sırrını kopyalayıp uygulamanıza yapıştırır. Başvurunuz için daha sonra Twitter'ın geliştirici sitesine nasıl yeni bir başvuru yapılacağına ilişkin ayrıntılı talimatlar içermesi gerekir. Bu resmi sınırlamanın birkaç pratik sorunu var:

• Müşteriniz, tanınmış tescilli müşterilere kıyasla kullanılabilirlik dezavantajıyla karşı karşıya kalacaktır.
• Form Yeni bir uygulama oluşturmak için gerekli alanları önceden doldurmak için bir yol sunmak için görünmüyor. Bu, Twitter bir uygulamayı kaydetme prosedürünü değiştirdiğinde kılavuzunuzdaki kayıt adımlarını güncellemeniz gerektiği anlamına gelir.
• Geliştirici sözleşmesi, kullanıcıların bağlayıcı bir sözleşmeye girmeleri için yasal yaşta olmasını gerektirir. Bu, 13 ila 17 yaş arasındaki başvurunuzun bir kullanıcısının, kullanıcı adına sözleşmeyi kabul etmesi için bir ebeveyni olması gerektiği anlamına gelir.
• Twitter Geliştirici Politikası , toplu kayıt uygulamalarını ve "farklı isimler altında aynı işleve sahip birden fazla uygulama gönderme" olarak tanımladığı "isim çömelme" yi yasaklar. Twitter'ın bir uygulamanın ayrı kopyalarını "isim çömelme" olarak kaydettiren ilgisiz kullanıcılara davranıp davranmadığına dair hiçbir emsal bilmiyorum.

Yanıtlayacağım ancak uyarıldım, kendimle ilgilenmediğim, en iyi uygulamalardan ve mevcut ilgili deneyimden mahrumum;

Bunun için fazla endişelenmem. Eğer müşteriniz açık kaynak ise, o zaman yine de kaynağa erişebilecekler ve programınızla ne yaptıklarını kontrol etmeye çalışacaklarsa, açık kaynağın niteliğine aykırı olsa da (önemlisi, ne yapmaya çalıştığınızı değil) ).

Birisi programınızın hatalarını ayıklamak ve anahtarınızı çıkarmak için yeterli bilgiye sahipse, bundan daha fazlasını nasıl yapacağınızı biliyorsa, daha fazla kilitlenmeye çalışarak zamanınızı boşa harcayabilirsiniz.

Bir önlem olarak, anahtarları çok sık değiştirirdim (mümkünse), ancak tek yapabilecekleri programınız benim için çok ciddi gelmiyormuş gibi yapmak.

Tam açıklama, Twitters API, twitterizer'ın API'si, sesli gereksinimler veya şüpheli gibi görünen bir şey bilmiyorum;)

Tüketici anahtarı ve sırrı, uygulamaya bağlı olup, kullanıcıya bağlı değildir. Bu oluşumda OAuth sağlayıcısı hangi uygulama ile uğraştığını bilir. Geri kalan, Access belirteci ve sır ilk adımlar yapıldıktan sonra elde edilecektir.

Protokolün nasıl çalıştığını gösterdiği gibi daha fazla bilgi için bu blog gönderisine bakın .