传输敏感数据安全实践
细节
与PC浏览器不同，移动设备通常不会提示应用程序是否使用SSL/TLS来保护数据传输，因此用户只能相信应用程序的开发人员已实施网络加密。
多年来，SSL（其次是TLS）一直是网络通信加密的标准，包括为移动应用提供支持的Web服务。然而，像DigiNotar和Comodo等违反证书认证机制的机构为许多用户提供伪造的证书。苹果“goto fail”bug进一步暴露了对于应用程序开发人员来说，SSL / TLS的可靠性有限。
今天，最佳做法是要求应用程序供应商有效地使用SSL/TLS来保护网络传输的密码、登录ID和其他敏感数据，甚至进一步利用应用层加密措施来保护用户数据。
修复
使用SSL/TLS进行标准验证，或者为了提高安全性，实施证书锁定（另请参见最佳实践3.3. 充分验证SSL / TLS和OWASP“Pinning Cheat Sheet”）。
为了防止受到SSL/TLS连接劫持而泄露敏感数据（例如登录ID，密码，PIN，帐号等），请在传输过程中实施其他加密。使用AES（也称为Rijndael）加密高度敏感的值，使用256的密钥大小。为了哈希目的，请使用诸如SHA-256或更高版本的算法。
在服务器端，请考虑仅接受强度较高的TLS密码和密钥，并禁用较低级别的加密，例如出口级40位加密（另见最佳做法8.2. 正确配置服务器端SSL）