Как защитить WEB-API

Добрый день всем!

Я сразу прошу прощение, если вдруг создал похожий топик, но поиск мне ничего похожего не выдал.

Итак,к сути..

Имеется задумка создать распределенное приложение состоящее из WEB-API на ASP.NET и клиенты(сайт и iOS,Android устройства), которые в дальнейшем будут работать с этим API.

И сразу же встал вопрос по поводу безопасности работы с WEB-API.
Изначально рассматривался вариант работы с токеном, который бы генерировался сервером(после приема верного логина и пароля) и передавался клиенту, который в дальнейшем слал бы команды, используя этот токен. Но, как я понял, в данном варианте есть опасность того, что злоумышленник может перехватить токен и использовать его в своих целях.

Вторым вариантом было использование пары public private key (подход RSA). Тут возник вопрос о том, что именно шифровать, то ли токен(тогда как защитить ответ от сервера?) или токен+данные(наверное, будет сильно тормозить да и как реализовать я не представляю).

И,наконец, третий вариант. Использовать SSL/TLS. Вот тут мои теоретические знания очень скудны(информация из гугла лишь запутала). Встал вопрос, возможно ли реализовать следующий сценарий безопасности:
использование шифрованного токена для аутентификации + установка защищенного соединения между клиентом и сервером засчет наличия и у того, и у другого самоподписанного сертификата?

Подскажите пожалуйста, как лучше всего обезопасить WEB API в данном случае? Возможно ли использовать последний вариант?

Благодарю за внимание, надеюсь на вашу помощь.

0