在调用Web服务时欺骗IP地址需要花费多少精力？

Question

我不想知道......有多复杂......

我正在考虑根据来电者的传入客户端ipaddress来保护网络服务或2。这有什么安全吗？

当然，如果IP地址被欺骗，那么结果必须被发送回被欺骗的地址，因此无法到达欺骗者？

更新：好的，我可以告诉我......我应该创建一个Gettoken（）方法来检查IP地址并将超时的加密重要令牌传递给任何有效的IP地址。在允许任何副作用之前，任何其他方法都需要这样做。

由于攻击者无法（可能）在没有有效IP的情况下获得令牌，因此他将无法有效地呼叫我的任何“危险”消息。 webmethods？

Answer 1

如果您尝试做的事情比DDoSing更复杂或触发安全漏洞，那么欺骗就不是答案。您需要的是一个系统，它将为您的请求提供支持，从而隐藏请求的真正来源。由于我们讨论的是HTTP流量，匿名代理将可以解决问题。

出于您所指的安全性的目的，这取决于是否可以采取行动。如果该网站纯粹是信息性的，那么您就是安全的。如果站点允许执行操作（例如，更新此操作，删除它），则考虑至少添加密码身份验证。

要记住的另一个问题是，在您的服务器和您希望允许的IP地址之间控制路由器的任何人都可以拦截数据包。这将允许他们在没有服务器实现的情况下进行完全双向欺骗通信。如果您希望信息真正安全，请使用HTTPS和身份验证方案来防止此类拦截发生。

Answer 2

没那么难，就像欺骗你的ip地址以进行任何其他通信一样简单 http://en.wikipedia.org/wiki/IP_address_spoofing

但他们不会得到回应。他们欺骗的实际IP地址。

Answer 3

你是对的。如果您的服务器响应需要到达客户端以建立双向通信，则欺骗性IP将不会收到您的响应。但是，您可能会受到欺骗性IP的拒绝服务攻击，因为计算响应会占用服务器上的某些CPU。

Answer 4

我们的部分Web服务安全性要求客户端使用公钥/私钥加密（xml数字签名）来确保不可否认性，以确保只允许客户端访问该服务。