c# - 使用 ASP.NET MVC 3 创建安全的高分服务

Question

我对这个问题做了很多研究，但似乎仍然找不到我要找的东西。基本上我已经为 WP7 创建了一个游戏，我希望它连接到我创建的服务以发送高分并接收排行榜。现在该服务很简单，只需要字符串格式的玩家姓名和分数。

我看过很多关于如何加密和解密数据的教程，但它们似乎都根据用户信息生成 key ，而且通常只是本地示例。难道我不必使用我在应用程序端加密我的数据时使用的相同 key ，以便我可以在服务器端解密它吗？我是否创建自己的 key 并在应用程序和服务器上使用？我如何保护该 key ？

我一直在尝试使用这种方法将加密字符串发送到我的服务: http://robtiffany.com/windows-phone-7/dont-forget-to-encrypt-your-windows-phone-7-data/

但由于 key 生成，我真的很困惑如何在应用程序端和服务器端同步该过程。

如果有人创建了高分服务并且有一些非常有用的提示。

Answer 1

如果你想让这个真正安全(可能不需要)，那么情况就很棘手了——你必须假设播放器可以访问你的应用程序的源代码(因为他/她可以对其进行反编译)并且还可以访问存储在应用程序中或手机中任何位置的所有 key 。这意味着，如果您的应用程序使用存储在手机上的 key 对乐谱进行加密，那么攻击者就可以使用假乐谱进行同样的操作。

为了使其真正安全，您可能需要向服务器发送一些游戏日志，并且服务器必须验证该日志是否是完成游戏的合理方式(即游戏可能已经玩完了)以这种方式)。为了在这个系统中伪造分数，攻击者必须生成游戏日志——这意味着创建一个比人类玩游戏更好的人工智能(以获得更好的分数)。这可能仍然是可能的(如果游戏对计算机来说很容易)，但我想不太可能有人会打扰。

在实践中，我认为您可以对分数的编码方式添加一些混淆(例如，在服务器和客户端上使用具有相同 key 的对称加密)。如果有人查看通过网络发送的数据，他们将无法轻易伪造更好的分数。如果他们反编译应用程序，那么他们可能仍然会这样做，但这可能不太可能(您可以偶尔手动检查分数，看看是否有可疑之处)。

[编辑:我不是 WP7 专家，所以 WP7 可能提供了一些特殊的东西，但原则上，它仍然会遇到同样的问题]