Как предотвратить использование несертифицированными клиентскими приложениями моего сервера?

Question

В настоящее время я пишу пару клиент-серверных приложений. Недавно я столкнулся с вопросом: «Как я могу запретить кому-либо писать собственное клиентское приложение и использовать наш сервер?» У меня действительно не было ответа на этот вопрос, потому что все данные защищенной связи, которые я сделал до настоящего времени, чтобы обеспечить связь между клиентом и сервером. Это будет отход от этой мысли в том, что - как я могу обеспечить, чтобы клиентское приложение на другом конце было клиентским приложением, с которым я хочу поговорить (а не кем-то, притворяющимся моим клиентским приложением)?

У кого-нибудь есть разумные мысли сделать это?

Answer 1

Вы не можете обеспечить такую ​​вещь. Единственное, что видит сервер, это связь, и если другое клиентское приложение ведет себя точно так же, как ваше клиентское приложение, вы не видите разницы.

Почему важно, чтобы только ваше собственное клиентское приложение могло разговаривать с вашим сервером? Если речь идет о безопасности, тогда ваш дизайн безопасности ошибочен. Простой факт заключается в том, что клиентское приложение никогда не может быть доверено сервером, даже если это ваше собственное клиентское приложение.

Answer 2

Это трудно ответить, не зная больше о том, что делает ваш сервер и кто такие клиенты. Но есть несколько вариантов:

1. Посмотрите на IP своих клиентов. Если количество клиентов невелико, необходимо поддерживать список IP-адресов, которым разрешено использовать вашу систему.
2. Поскольку вы уже используете шифрование, почему бы не пойти дальше и работать с клиентскими сертификатами?

Answer 3

Почему? Если клиентская среда не контролируется, и там может быть установлен какой-либо сторонний клиент, ничто не может полностью помешать пользователю вмешаться в официальный клиент, поэтому любая защита должна выполняться на стороне сервера, и в этом случае сторонний клиент не является проблемой , или окружающей среды.

Если требуется, частое изменение протокола с автоматическими обновлениями, нажимая на клиента, может препятствовать разработке альтернативных клиентов. (exterrogated case: клиент состоит только из загрузочного устройства, загружает приложение с сервера. Протокол и соответствующие части приложения изменяются с каждой копией с помощью вирусов).

Лицензия и адвокаты могут помочь здесь

Answer 4

вызов/ответ один способ.

Вставьте серийный номер и ключ, уникальный для этого серийного номера в вашем приложении (клиент и сервер). Затем, когда клиент присоединяет и отправляет его серийный номер, сервер вычисляет вызов, который будет отправлен клиенту (с использованием известного ключа). Когда клиент получает вызов, он должен ответить ответом (который он вычисляет из его внутреннего ключа).