security - SaaS-サーバーで常に同じコードを使用していることをユーザー/クライアントに証明するにはどうすればよいですか？

Question

サーバーでオープンソースプロジェクトを実行しているとしましょう。

公開されているものと同じコードを使用していることをユーザーに証明する一般的な方法はありますか？

Answer 1

リモート サービスがそのマニフェストに記述されているものであるという暗黙の保証は決してありませんが、通常はサービスの評判が直接考慮されます。

さらに、SaaS 自体は単なる配信モデルであり、クライアントとサービスの間の一連のプロトコルや契約を定義する必要はありません。パブリック プラットフォームを構築してサービスを提供するためのアプローチを定義するだけです。これは、運用の詳細を説明するよりも、サービスの構築プロセスを説明するための用語であり、意図した市場です。

そのようなことをクライアントとサーバー間の契約の一部として実装する必要がある場合は、HMAC を使用したネイティブ ハッシュ ソリューションの実装を検討できます。ID メカニズムは、OAuth と同様にソルトされたアクセス トークンを使用して実装できますが、コードベースのファイルを使用してチェックサムを生成します。これにより、コードが一度適切に実行された場合、生成されたハッシュが変更されない限り、同じコードが実行されることが保証されます (ただし、公開されているハッシュが適切に生成されたという保証はありません)。

そのようなことは冗長に聞こえるかもしれませんが、SSL セキュリティに加えて、ほとんどのサービスは一般的に使用する傾向があります。

要するに、パブリック API を介してサービスが提供されていることに懸念がある場合は、その評判が優先されるかなりの理由があるということです。