Zabezpečenie komunikácie master - slave

answered 2015-01-18 07:47:57 +0100

Josef Kokeš
2956 ●20 ●35 ●73

Opravte mě, jestli jsem to pochopil špatně: Máte armádu robotů, kteří na internetu sbírají data a výsledky posílají centrálnímu serveru, který si je nějak uloží a prezentuje je přes webové rozhraní klientům. Takže třeba něco jako vyhledávání Google. A chcete zajistit, aby data do centrálního serveru mohly sypat pouze oprávněné počítače, tj. vaši roboti, a ne každý hacker. Pochopil jsem to správně?

V první řadě by bylo vhodné, abyste zvolil nějaké standardní řešení a nesnažil se vytvořit si bezpečnost sám. Bezpečnost je mimořádně obtížná věc, snadno můžete vzít silné komponenty, pospojovat je podle svého nejlepšího vědomí a svědomí a neúmyslně vytvořit slabý celek (mám za to, že vás teď čeká BI-BEZ, tam si něco takového ukážeme, v MI-KRY další). Jinými slovy, rozhodně nevytvářejte vlastní autentizační protokol, využijte už existující.

Na rozdíl od @ghormoon nepovažuji za vhodnou ani VPS ani VLAN. Sice by jimi šlo dosáhnout toho, co chcete, ale problém je v tom, že tyto technologie jsou primárně určené k propojení sítí a tudíž vám udělají mnohem víc než vlastně potřebujete. Takže to navíc, co vytváří, budete muset zase pracně zablokovat, s rizikem, že jste nepostihl všechno.

Já bych pro ten účel, který popisujete, zvolil SSL nad REST API - buď nativně (serverová i klientská část to přímo podporují), nebo pomocí nástroje jako SSL Tunnel. To bych možná i preferoval - za prvé pak mohu zablokovat normální nešifrované REST na dvou úrovních (vypnout na serveru a ještě zakázat na firewallu), a za druhé se tím dá vyřešit problém s overheadem (po prvotním sestavení už tunel zůstane otevřený pro další komunikaci). Ověření pak probíhá zcela jednoduše podle toho, jestli klientský certifikát vydala nebo nevydala moje soukromá certifikační autorita, přitom já nemusím vůbec nic implementovat, protože všechno už je hotové - já jen do konfiguračních souborů klienta/serveru umístím správný certifikát (samozřejmě každý klient bude mít jiný certifikát, abych je mohl v případě potřeby vyměnit).