スマホアプリからアクセスするAPIのセキュリティ対策について

Question

ユーザがログインを必要としない情報アプリがあります。

このアプリ内の情報を自身のサーバから取得しようと考えていますが、
どこからでもアクセスできるようにしておく事は良くないと思います。

ユーザがログインするタイプのアプリであれば、
そのユーザごとの認証と合わせて、OAuth2でもSAMLでもすれば良いかな
と考えますが、

今回、ユーザの認証は行わないため、アプリからのアクセスであるとどのように判断して
不正なアクセスを防ぐべきか、実装方法が全く思い浮かびません。

何か、一般的な（良い方法を）ご存知の方おられましたら教えてください。
よろしくお願いいたします。

Comments

[退会済みユーザー]

正規アクセスの定義はどう考えていますか？

[salud]

webや、curlなどからのアクセスは禁止したいと考えています

[退会済みユーザー]

禁止したい方ではなくて、通したいのはなんですか？

[salud]

通したいのは、アプリからのリクエストのみです。

[退会済みユーザー]

どうやって、アプリからのリクエストを特定するの？

Answer 1

クライアント証明書をアプリに内蔵するとかどうでしょう？
もしくはAPI側に認証をかけて、ID/PWはアプリにハードコードするとか？

Comments

[salud]

クライアント証明書とは、どのような認証方式になりますでしょうか？
具体的に何か思いつくものありましたら教えていただけないでしょうか。

[Takumiboo]

SSL証明書の一種で、サーバ証明書がサーバの身分証であるのに対し、クライアント証明書はクライアント側(アクセスする側)の身分証です。いくらでも解説されているサイトがあるので、詳しくはググってください。