Mencegah penyalahgunaan Gemini API dengan Firebase App Check

Saat Anda memanggil API langsung dari aplikasi seluler atau web (misalnya, API yang memungkinkan akses ke model AI generatif), API tersebut rentan terhadap penyalahgunaan oleh klien yang tidak sah. Untuk membantu melindungi API ini dari penyalahgunaan, Anda dapat menggunakan Firebase App Check untuk memverifikasi bahwa semua panggilan API yang masuk berasal dari aplikasi Anda yang sebenarnya dan perangkat yang tidak dimodifikasi.

Firebase AI Logic menyediakan gateway proxy yang memungkinkan Anda berintegrasi dengan Firebase App Check dan melindungi API model AI generatif yang dipanggil oleh aplikasi seluler dan web Anda. Penggunaan App Check dengan Firebase AI Logic SDK mendukung semua konfigurasi kami:

• Melindungi kedua penyedia "Gemini API": Gemini Developer API dan Vertex AI Gemini API.

• Melindungi semua model yang didukung, baik Gemini model maupun Imagen model.

App Check juga mendukung perlindungan replay, yang berarti token App Check hanya dapat digunakan satu kali.

Ringkasan tingkat tinggi tentang cara kerja App Check

Dengan App Check, perangkat yang menjalankan aplikasi Anda menggunakan penyedia pengesahan aplikasi atau perangkat yang memverifikasi salah satu atau kedua hal berikut:

• Permintaan berasal dari aplikasi asli milik Anda
• Permintaan berasal dari perangkat asli yang tidak dimodifikasi

Pengesahan ini dilampirkan untuk setiap permintaan yang dibuat aplikasi Anda menggunakan Firebase AI Logic SDK. Saat Anda mengaktifkan App Check penerapan, permintaan dari klien tanpa pengesahan yang valid akan ditolak, begitu juga permintaan yang berasal dari aplikasi atau platform yang belum Anda beri otorisasi.

Saat menyiapkan App Check, pertimbangkan untuk menambahkan perlindungan replay, yang membuat token App Check hanya dapat digunakan satu kali. Opsi ini menawarkan perlindungan yang ditingkatkan di luar perlindungan dasar dan memungkinkan Anda menetapkan tingkat perlindungan yang sesuai untuk aplikasi dan kasus penggunaan Anda.

Anda dapat menemukan informasi mendetail tentang App Check dalam dokumentasinya, termasuk kuota dan batasnya.

Menyiapkan App Check

Dokumentasi App Check memberikan deskripsi mendetail tentang penyedia pengesahan serta petunjuk penerapan mendetail.

1. Pilih penyedia pengesahan default, dan ikuti petunjuk penerapan di link berikut:

   • Platform Apple: DeviceCheck atau App Attest
   • Android: Play Integrity
   • Web: reCAPTCHA Enterprise
   • Flutter: Mendukung semua penyedia default di atas
     Jika Anda menggunakan versi plugin yang lebih lama, lihat catatan tentang pembuatan instance khusus di bawah. untuk Flutter dan App Check.
   • Unity: Mendukung semua penyedia default di atas

   Perhatikan bahwa jika tidak ada penyedia pengesahan default yang memadai untuk kebutuhan Anda, Anda dapat menerapkan penyedia kustom yang menggunakan penyedia pengesahan pihak ketiga atau teknik pengesahan Anda sendiri.

2. (Wajib) Aktifkan App Check penerapan sebelum Anda melakukan commit aplikasi ke sistem kontrol kode sumber yang tersedia untuk publik, membagikan aplikasi, atau membuat aplikasi Anda tersedia untuk publik.

3. (Direkomendasikan) Tingkatkan perlindungan dengan menambahkan perlindungan replay, yang berarti token App Check hanya dapat digunakan satu kali.

// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

Meningkatkan perlindungan dengan menambahkan perlindungan replay

Secara default, App Check menggunakan token sesi yang memiliki waktu aktif (TTL) yang dapat dikonfigurasi antara 30 menit dan 7 hari. Token sesi ini di-cache oleh App Check SDK, dikirim bersama dengan permintaan dari aplikasi Anda, dan dapat digunakan kembali hingga TTL-nya berakhir. Penggunaan token sesi dianggap sebagai perlindungan dasar.

Namun, Anda dapat meningkatkan perlindungan di luar perlindungan dasar ini dengan menerapkan perlindungan replay, yang menggunakan token penggunaan terbatas sebagai gantinya. Saat perlindungan replay diterapkan, hal berikut akan terjadi:

• App Check akan memblokir permintaan ke Firebase AI Logic yang menggunakan token sesi. Sebagai gantinya, App Check hanya akan mengizinkan permintaan ke Firebase AI Logic jika menggunakan token penggunaan terbatas yang baru dibuat.

• Setelah token penggunaan terbatas diverifikasi, token akan digunakan sehingga hanya dapat digunakan satu kali, yang mencegah serangan replay.

• App Check SDK membuat token penggunaan terbatas baru untuk setiap permintaan. Perhatikan bahwa proses ini dapat memengaruhi permintaan Anda dengan menambahkan latensi dan terkadang biaya (bergantung pada penyedia pengesahan Anda).

Menyiapkan dan menerapkan perlindungan replay

Berikut cara menyiapkan dan menerapkan perlindungan replay:

1. Jika belum, terapkan App Check dan aktifkan App Check penerapan untuk aplikasi Anda.

2. Aktifkan penggunaan token penggunaan terbatas.

   Di aplikasi Anda selama pembuatan instance, tetapkan parameter useLimitedUseAppCheckTokens ke true:

   Swift

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   let ai = FirebaseAI.firebaseAI(
     backend: .googleAI(),
     useLimitedUseAppCheckTokens: true
   )
   
   // ...
   
   

   Kotlin

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   val ai = Firebase.ai(
     backend = GenerativeBackend.googleAI(),
     useLimitedUseAppCheckTokens = true
   )
   
   // ...
   
   

   Java

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   FirebaseAI ai = FirebaseAI.getInstance(
     /* backend: */ GenerativeBackend.googleAI(),
     /* useLimitedUseAppCheckTokens: */ true
   );
   
   // ...
   
   

   Web

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   const ai = getAI(firebaseApp, {
     backend: new GoogleAIBackend(),
     useLimitedUseAppCheckTokens: true
   });
   
   // ...
   
   

   Dart

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   final ai = await FirebaseAI.googleAI(
     useLimitedUseAppCheckTokens: true,
   );
   
   // ...
   
   

   Unity

   // ...
   
   // During instantiation, enable usage of limited-use tokens
   var ai = FirebaseAI.GetInstance(
     useLimitedUseAppCheckTokens: true
   );
   
   // ...
   

   Firebase Remote Config

3. Terapkan perlindungan replay.

   1. Di codebase aplikasi Anda, pastikan Anda telah mengaktifkan penggunaan token penggunaan terbatas (lihat langkah sebelumnya).

   2. Di konsol Firebase, buka Keamanan > App Check.

   3. Luaskan tampilan metrik untuk Firebase AI Logic.

   4. Pastikan Perlindungan dasar Diterapkan, lalu klik Lanjutkan.

   5. Untuk perlindungan replay, pilih Tidak diterapkan (hanya pemantauan) atau Diterapkan.

      Pertimbangkan hal berikut untuk memutuskan kapan harus menerapkan perlindungan replay:

      • Sebaiknya pantau permintaan Anda jika sebagian besar pengguna Anda kemungkinan menggunakan aplikasi versi sebelumnya tanpa mengaktifkan penggunaan token penggunaan terbatas. Jika Anda segera menerapkan perlindungan replay, permintaan dari pengguna tersebut akan diblokir.

      • Anda dapat memantau metrik Tidak terverifikasi: Token digunakan kembali secara khusus, yang merupakan jumlah permintaan yang memiliki token yang telah digunakan dalam permintaan sebelumnya. Pantau metrik ini di konsol Firebase (buka tab Keamanan > App Check > API).

        Jika sebagian besar permintaan terbaru berada dalam kategori ini, Anda dapat menghindari gangguan pada pengguna dan mempertimbangkan untuk menunggu penerapan perlindungan replay hingga lebih banyak pengguna mengupdate ke aplikasi versi yang menggunakan token penggunaan terbatas.

Memahami cara Firebase AI Logic berintegrasi dengan App Check

Untuk menggunakan Firebase AI Logic SDK, Firebase AI Logic API (firebasevertexai.googleapis.com) harus diaktifkan di project Firebase Anda. Hal ini karena permintaan yang dibuat oleh Firebase AI Logic SDK pertama-tama dikirim ke Firebase AI Logic server, yang bertindak sebagai gateway proxy tempat verifikasi Firebase App Checkdilakukan sebelum permintaan diizinkan untuk melanjutkan ke backend penyedia "Gemini API" yang Anda pilih dan API untuk mengakses model Gemini dan Imagen.