Azt tudom, hogy a telefon feltörhető. Abból indulok ki, hogy fel is fogják és kiszedik belőle az autentikálást.
Csak annyit tudunk tenni, hogy nehezítjük a feltörést, illetve védjük magunkat.
Azt nem tudom, hogy fiddler-el kiszedhető e az api hívásokból a token, talán nem, mert https-en megy. Az tuti, hogy a token könnyebben lopható.
Eléggé szélsőséges példa, de ha teszem azt, jogilag meg kéne védeni magunkat, akkor a cert jobb. A magyar szervek nem értenék meg, hogy mi az a karaktersor amivel full azonosítható a user. A cert esetében már más, mert tényleg útlevélnek tekinthető, plusz a privát kulcs soha nem kerül ki a telefonról a mi szerverünkre. A token esetében ha jól tudom, a secretet nekünk kell küldeni amikor igényli a kliens. Plusz tleg a token minden request alkalmával utazgat az éterben. A cert esetében azért ennyire nem fekete-fehér, nem repked plain/text-ként a kliens-szerver között.
Nem látok problémát az utólagos változtatásokon. Azért nem beszélünk itt most egy nagyon nagy fejlesztésről :) A webszerver beállítás nem nagy cucc, a php része se para.
Ha egyszer lesz utódom, akkor őt minősíti ha nem merne ehhez hozzányúlni :)
Amúgy itt komplexebb rendszerről van szó, ez a rész csak egy kisebb része az egésznek. Ez csak az autentikálás, abból is csak a mobilos rész. Ha kellenek új részek a WS-be, akkor az autentikálás közelébe se kell menni.
Egyelőre úgy néz ki, hogy az ssl nyer (több munkatársam is beállt már a feature mögé).