移动设备上的 GeoLocation API 的安全性如何？答案

【问题标题】：How secure are GeoLocation APIs on Mobile Devices?移动设备上的 GeoLocation API 的安全性如何？
【发布时间】：2011-06-09 20:36:43
【问题描述】：

通过 GeoLocation API 入侵网站或向网站提供错误信息有多容易？

我需要让用户将他们的位置发布到我的服务器，但我需要确保数据没有被欺骗。不要求精确定位，但我需要知道用户至少在他们声称的位置附近。

只要我保护我的服务不被任意调用（使用用户提供的参数），我是否可以相信通过本机应用程序访问的现代智能手机中的 GPS 系统提供的纬度/经度？通过 HTML5 呢？

我的问题基本上是，内置操作系统 API 是否安全，因为（假设非 root 手机）从 API 返回的数据是有效的？如果不是，有什么方法可以验证数据至少是合理的吗？

【问题讨论】：

【解决方案1】：

你期待恶意吗？

与任何依赖客户端的技术一样，您必须信任客户端。使用root/越狱手机，理论上可以在手机上操作数据。如果位置服务被禁用，您可能会获得占位符数据（尽管您应该得到地理定位被禁用的指示）。据我所知，目前还没有可靠的方法来检测 iPhone 是否针对 sn 应用商店应用越狱，更不用说网站了。

除此之外，任何系统都可以被玩弄，但在库存的、未越狱的 iPhone 上提供虚假地理数据并非易事；同样的可能适用于 Android。

您还可以通过使用基于 IP 的外部地理定位服务进行健全性检查（同样可能被代理服务器欺骗）。

【讨论】：

很遗憾，是的。我确实希望人们尝试对数据进行游戏。我想我还必须以随机间隔进行一些距离计算，以确保没有人在周围传送。
@Nate 我认为地理定位对于补充数据来说是相当安全的，但对于真正关键的应用程序来说还不够安全。你必须自己动手（即使那样也不是 100% 安全的），这几乎是不可能的。您可以期望的最好结果是健全性检查，但这会产生一些误报。