원격 활성화/비활성화 및 비즈니스 외의 보호
https://stackoverflow.com/questions/759464
-
09-09-2019 - |
italiano
english
français
española
中国
日本の
العربية
Deutsch
한국어
Português
Russian문제
인터넷을 사용하여 사이트간에 데이터를 전송하는 앱을 담당하고 일부 고객은 지불에 대해 어색하고 있으므로 비 지불 자 서비스를 차단할 수있는 메커니즘이 필요합니다. 방화벽을 사용하는 관리자에게 수표를 차단하기 위해 관리하는 사람을 보호하고 싶습니다. 그러나 반대로 회사 웹 사이트에 대한 허용량을 어떤 이유로 사라지고 액세스 할 수 없을 정도로 허용하고 싶습니다.
내가 상상하는 계획은 다음과 같습니다.
server makes twice daily check to web page using a URL like:
http://www.ourcompany.com/check.php?myID=GUID&Code=MyCode
그런 다음 관심이 없거나 안내 및 값이 포함 된 응답을 반환합니다.
GUID=0
이 0은 서버가 작동을 중지해야 함을 나타냅니다. 다시 작동하기 위해 서버는 값이 전달한 코드가 변환되어야한다고 생각하는 것과 일치 할 때까지 동일한 정보를 5 분마다 확인합니다.
이 계획은 나에게 의미가 있지만, 문제는 실제로 차단으로부터 보호하는 방법입니다. 인터넷에 액세스해야한다는 것을 알고 있으면 웹 서버로부터 응답을 얻지 못하고 얼마나 오래 계속 작동해야합니까? 14 일이면 어쨌든 가장 좋은 방법을 종료합니까?
해결책
내가 사용한 솔루션은 내가 제안한대로 거의 이루어졌습니다. 예, 여기에 설명 된 도구를 사용하여 패배 할 수 있지만 아무것도 아닌 것보다 낫습니다.
앱은 매일 공개 키 암호화를 사용하여 암호화 된 제어 파일이 포함 된 웹 사이트에 액세스하는 것을 확인합니다. 메모리에서 해독하고 안내를 찾으면 코드와 일치해야합니다. 작업을 비활성화하려면 코드가 0 (0)으로 설정되어 항상 실패합니다. 비활성화되면 2 분마다 점검하여 빠른 복원을 허용합니다. 서버 문제의 경우 일주일 동안 작동하는 코드를 생성하는 수동 메커니즘도 있습니다.
코드는 서버에 연결하지 않고 최대 14 일을 허용합니다. 10 일 후에는 오류 메시지가 표시되는 오류 메시지가 표시됩니다.
다른 팁
이 방법을 우회하기가 쉽습니다. 로컬 DNS 서버를 사용하여 www.ourcompany.com을 로컬 컴퓨터에 가리키거나 HTTP 프록시를 사용하십시오. 그런 다음 사용자는 프로그램에 원하는 응답을 반환 할 수 있습니다.
사용자가 수표를 우회하지 않았다고 가정하면 확인없이 계속 운영하는 시간은 비즈니스 결정이며 프로그래밍 결정이 아닙니다.
사용자는 OWASP WebScarab과 같은 도구를 사용하여 즉시 값을 변경하여 보안 모델을 전복시킬 수 있습니다. 보안 채널이 필요한 것, 공개 키 비교 등과 같은 더 어려운 것을 포함해야합니다.
