Firebase забезпечує внутрішню базу даних, щоб розробники могли зосередитися на коді на стороні клієнта.
Отже, якщо хтось бере мою firebase uri (наприклад, https://firebaseinstance.firebaseio.com), тоді розробляйте на ній локально .
Тоді, чи зможуть вони створити іншу програму з мого екземпляра Firebase, зареєструватися та автентифікувати себе, щоб прочитати всі дані моєї програми Firebase?
Відповіді:
@Франк ван Пуффелен,
Ви згадали фішинг-атаку. Насправді є спосіб забезпечити це.
Якщо ви ввійдете в консоль googleAPIs API Manager, у вас буде можливість заблокувати, який реферал HTTP ваш додаток прийме запит.
Це має дозволити лише домену, що входить у білий список, використовувати вашу програму.
Це також описано тут у контрольному списку запуску Firebase тут: https://firebase.google.com/support/guides/launch-checklist
Можливо, документація Firebase може зробити це більш видимим або автоматично заблокувати домен за замовчуванням і вимагати від користувачів дозволу доступу?
Той факт, що хтось знає вашу URL-адресу, не є ризиком для безпеки.
Наприклад: у мене немає проблем повідомити, що мій банк розміщує свій веб-сайт на bankofamerica.com, і він там розмовляє протоколом HTTP. Якщо ви також не знаєте облікові дані, якими я користуюся для доступу до цього сайту, знання URL-адреси не приносить вам жодної користі.
Щоб захистити ваші дані, ваша база даних повинна бути захищена:
Це все висвітлено у документації Firebase щодо безпеки та правил , яку я настійно рекомендую.
Завдяки цим правилам безпеки єдиний спосіб, яким чужа програма може отримати доступ до даних у вашій базі даних, - це скопіювати функціональні можливості вашої програми, попросити користувачів увійти в свою програму замість вашої та увійти / прочитати з / написати на ваша база даних; по суті фішинг-атака. У цьому випадку в базі даних немає проблем із безпекою, хоча, мабуть, час залучити деякі органи влади.
https://tinderclone.firebaseio.com/і https://tinderclone.firebaseio.com/profiles.json. Вони є справжньою базою даних Firebase. Чи можете ви розробити додаток, створивши форму для реєстрації та форму входу за допомогою електронної пошти. Оскільки мій додаток дозволяє кожному зареєструватися електронною поштою, чи зможете ви після реєстрації прочитати всі дані? Пізніше я задам вам ще одне запитання. Дякую
".read": falseперешкоджатиме будь-кому бачити дані. Можливо, ви хочете дозволити трохи більше, ніж це, але все залежить від вашого випадку використання. Захист даних викладено в документації Firebase щодо безпеки та правил .
Щодо білого списку Auth для мобільних додатків, де доменне ім’я не застосовується, Firebase має
1) SHA1 fingerprintдля програм для Android і
2) App Store ID and Bundle ID and Team ID (if necessary)для ваших програм iOS
який вам доведеться налаштувати у консолі Firebase.
З цим захистом, так як перевірка не тільки , якщо хто - то є дійсний ключ API, домен Auth, і т.д., але і він приходить з наших авторизованих додатків і domain name/HTTP referrer in caseв Інтернеті .
Сказано, що нам не потрібно турбуватися, якщо ці ключі API та інші параметри підключення піддаються іншим.
Для отримання додаткової інформації, https://firebase.google.com/support/guides/launch-checklist