0

初めて実行するときにサーバーにアクセスしてクライアント ID を要求する Windows クライアント (デスクトップ) アプリケーションがあります。しばらくすると、そのクライアントは追加のリクエストでサーバーにコールバックします。サーバーは 1 日中クライアント ID を配布できますが、今後の要求が有効なクライアントからのものであることをサーバーが認識できることが重要です。

これは、リクエストを行っているのがクライアント アプリケーションであり、クライアント アプリケーションのふりをしている誰か/何かではないことを確認することを意味します。理想的には、クライアント アプリケーションのクライアント ID が変更されていないことも確認する必要があります。

将来のリクエストにソルトされたクライアント ID のハッシュを含めることを考えましたが、ソルト値を把握するのに十分なほどクライアントを分解することは、決心した人にとってそれほど難しいことではないようです。

解決策、ヒント、または指針を事前にありがとうございます。

4

1 に答える 1

0

大量の暗号化なしでは賢明に行うことはできません。相手が完全にコントロールしている限り、答えを偽造できないわけではありません。漠然と似ているのは Kerberos が行うことであり、プロトコルはかなり複雑です。Ross Anderson の"Security Engineering"は、その方法を調べるための最初の目的地です。

于 2013-02-10T00:19:28.580 に答える