HTTP API要求がiPadから来たものかどうかを判断する方法

Question

私たちはiPadアプリ用のHTTP APIを開発しており、iPadからのHTTPリクエストを介してAPIにアクセスすることのみを考えています。

私はUser-Agentのようなものは考えていません。これは簡単に偽造することができますが、App Storeと連携する認証スキームのようなものでしょうか？たぶん、App Storeはいくつかの種類の秘密鍵で各アプリに署名し、要求のクエリパラメータまたはヘッダーとしてその署名を挿入し、正当なiPadの署名であるかどうかをサーバー側でチェックすることができます。

これは可能なのでしょうか良いアイデアですか？

Answer 1

iPadアプリとサーバーアプリの両方を制御する場合は、正当なアプリからのリクエストであることをPKIで検証できます。アプリケーション自体に公開鍵を埋め込み、ヘッダーフィールドに入力した値を暗号化してからサーバー上の秘密鍵を使用して、受信したヘッダー値を復号化して検証します。