Çalışma mantığı
Kanıtın hangi uygulama, ortam ve istek için üretildiği doğrulanır. Doğrulama başarılı olsa bile kullanıcı yetkileri ayrıca değerlendirilir. Android ve Apple hizmetleri aynı alanları veya aynı güvenceyi sunmaz.
Uygulamada nasıl değerlendirilir?
Sunucu, alınan kanıtı ödeme isteğiyle ilişkilendirir; farklı tutarda veya daha sonra gönderilen istekte aynı kanıtın kabul edilmesini engeller.
Sınırlar ve yaygın hatalar
Geçerli kanıt işlemin meşru olduğunu tek başına kanıtlamaz. Temiz cihazdaki kötüye kullanım ayrıca modellenmelidir.
Kontrol listesi
- Kanıtı sunucuda doğrulayın
- Tazelik kuralı koyun
- Kullanıcı yetkisini ayrıca kontrol edin
Karar verirken
Attestation, iş mantığı kontrollerini güçlendiren bir girdi olarak kullanılmalıdır.
Kanıtın kapsamı kadar tazeliği de önemli
Attestation kanıtı belirli iddiaları belirli bir protokol içinde doğrular. Uygulama kimliği hakkında olumlu sonuç almak, kullanıcının ödeme alıcısını gerçekten onayladığını kanıtlamaz. İşlem bağlama bu boşluğu ele alır.
Sunucu kanıtı çözümlerken beklenen uygulama, ortam, istek bağlamı ve süre koşullarını denetlemelidir. Daha önce kabul edilmiş kanıtın başka işlemde kullanılmasına karşı akışın tekrar davranışı tasarlanır. Kullanılamayan hizmet için ayrı politika bulunması da doğrulanmamış verinin sessizce güvenilir sayılmasını önler.
İlgili rehberler: Google Play Integrity API ve Mobile RASP, Apple App Attest ve Mobile RASP.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.