WedX - журнал о программировании и компьютерных науках

json — Сквозное шифрование SSL/TLS

Итак, немного предыстории о безопасности и проекте. Разработка личного приложения для заказчика. Это приложение должно быть безопасным. Один из способов обеспечить его безопасность — запретить внешние подключения к этому. Это означает, что могут быть выполнены только внутренние соединения. Или соединения через VPN, безопасность которых мы заложим провайдеру VPN. Однако мы должны учитывать и иметь в виду проблему безопасности местных пользователей. У нас было много мыслей по этому поводу, когда мы просто отключили безопасность на сетевых устройствах уровня 2 и безопасность ldap внутри организации. Однако теперь мы сталкиваемся с борьбой в рамках набора авторизованных пользователей (некоторые очень умные люди), как нам обеспечить безопасность здесь.

Итак, вопрос. Если у нас есть SSL-слой для приложения. Разрешить пользователям доступ к веб-серверу только через SSL-соединение. Защитит ли он весь трафик?

Сценарий:

Пользователь A входит на этот веб-сайт с IP-адресом 10.x.x.180 (под ssl).

Пользователь B сидит с открытым wireshark и нюхает в этой сети любой трафик на IP-адрес 10.x.x.180.

Пользователь A звонит на веб-сайт, чтобы просмотреть веб-страницу. Эта веб-страница вызывает локальный файл json на этом сервере. Возвращает json в приложение. Затем этот json читается и отображается пользователю А.

В. Сможет ли пользователь Б увидеть эти данные в своих сниффинг-пакетах? или он просто увидит зашифрованные SSL данные?

ssl encryption json security
19.02.2017

  • Имейте в виду, что TLS защитит ваш туннель (то есть трафик между браузером или приложением и сервером будет зашифрован). Это не поможет с безопасностью приложения: кто-то, кто может войти в него (будь то классический веб-сайт или API), может попытаться взломать его. Поскольку вы будете работать в ограниченной сети с, как вы их назвали, умными людьми, это то, к чему вы также должны обратиться (TLS — это простая конфигурация, а защита вашего приложения — нет). 19.02.2017
  • @WoJ - Я ценю твою заботу. Однако беспокойство больше касалось другого хакера, не обязательно пользователя. Но я не хотел этого писать. на случай, если хакер смог перехватить сеанс у другого пользователя внутри комплекса, взломав его компьютер или что-то еще. Это ограничивает этого хакера только данными этого человека, а не других пользователей. 20.02.2017

Ответы:


1

В. Сможет ли пользователь Б увидеть эти данные в своих сниффинг-пакетах? или он просто увидит зашифрованные SSL данные?

Он будет видеть только зашифрованный SSL-трафик, обеспечивающий сквозное шифрование.

19.02.2017
  • Спасибо. Однажды я смогу принять это. Я буду. Мы просто обеспокоены тем, что некоторые пользователи имеют доступ к одним данным, а другие имеют доступ к другим данным. Мы будем обрабатывать эту безопасность в нашем приложении. но я не хочу, чтобы пользователь B пытался по существу понюхать данные от другого пользователя. 19.02.2017
  • С SSL гарантируется, что посредник не сможет увидеть простые данные, которыми обмениваются по сети. Вот почему SSL был создан в первую очередь. Просто убедитесь, что все запросы выполняются по зашифрованному каналу (HTTPS). 19.02.2017
    • Новые материалы
    Объяснение документов 02: BERT
    BERT представил двухступенчатую структуру обучения: предварительное обучение и тонкая настройка. Во время предварительного обучения модель обучается на неразмеченных данных с помощью..
    Как проанализировать работу вашего классификатора?
    Не всегда просто знать, какие показатели использовать С развитием глубокого обучения все больше и больше людей учатся обучать свой первый классификатор. Но как только вы закончите..
    Работа с цепями Маркова, часть 4 (Машинное обучение)
    Нелинейные цепи Маркова с агрегатором и их приложения (arXiv) Автор : Бар Лайт Аннотация: Изучаются свойства подкласса случайных процессов, называемых дискретными нелинейными цепями Маркова..
    Crazy Laravel Livewire упростил мне создание электронной коммерции (панель администратора и API) [Часть 3]
    Как вы сегодня, ребята? В этой части мы создадим CRUD для данных о продукте. Думаю, в этой части я не буду слишком много делиться теорией, но чаще буду делиться своим кодом. Потому что..
    Использование машинного обучения и Python для классификации 1000 сезонов новичков MLB Hitter
    Чему может научиться машина, глядя на сезоны новичков 1000 игроков MLB? Это то, что исследует это приложение. В этом процессе мы будем использовать неконтролируемое обучение, чтобы..
    Учебные заметки: создание моего первого пакета Node.js
    Это мои обучающие заметки, когда я научился создавать свой самый первый пакет Node.js, распространяемый через npm. Оглавление Глоссарий I. Новый пакет 1.1 советы по инициализации..
    Забудьте о Matplotlib: улучшите визуализацию данных с помощью умопомрачительных функций Seaborn!
    Примечание. Эта запись в блоге предполагает базовое знакомство с Python и концепциями анализа данных. Привет, энтузиасты данных! Добро пожаловать в мой блог, где я расскажу о невероятных..
    Для любых предложений по сайту: [email protected]