security - 确保无需凭据的客户端/服务器身份验证

Question

我正在研究保护客户端应用程序和服务器之间 channel 的方法。

我有一个丰富的桌面客户端 (win) 和移动客户端连接到网络服务，交换数据。

使用 SSL 证书，服务器和客户端可以相互信任。在安全连接上，我可以交换用户名和密码，从而对用户进行身份验证。

但是在某些情况下，用户必须通过这两种方法中的任何一种连接到服务器，而无需他的凭据，而只是文字，比如车牌号。

我真的想确保在这种情况下我只允许客户端连接我确定我知道的设备，因为没有进一步检查身份验证并且车牌号将是一个非常常见的文字。

我如何确保只有我的服务器已知的“设备”才能与我的服务器交互？

Answer 1

如果你想验证设备，你需要找到一种方法让设备证明它是什么，而不泄露它的 secret 。

对于任何能够看到该号码的人来说，类似于车牌的系统很容易被欺骗。根据您对此设备的控制程度，您可能无法隐藏它，即使与您的服务器的连接已使用 SSL/TLS 进行保护。

实现此目的的一种可能方法是使用加密硬件 token (或智能卡)。其中一些 token 可以配置为持有证书和私钥，能够使用私钥而无法导出该私钥。加密操作(签名和解密)发生在 token 本身。

您可以使用它们对您的服务器执行客户端证书身份验证。在这种情况下，您会知道客户端拥有该 token 。这可能在您知道 CA 仅为此类 token 中的 key 对颁发证书的情况下起作用:管理 CA 来处理此问题会产生成本。

这至少可以让您将身份验证与特定 token 相关联。您是否可以将其与您的整体设备集成取决于您拥有的设备类型。