Garantire che un servizio Web elabori solo le richieste da computer specifici

Quanto sei preoccupato per una minaccia interna e per quanto esperto ti aspetteresti da addetti ai lavori? Questo è il tuo più grande fattore. Quasi tutti i meccanismi di sicurezza che si inseriscono nel disco fisso della macchina possono essere danneggiati se l'attaccante subisce una presa o accede troppo al disco rigido. Quanto tempo ci vorrà sarà un fattore di quanto bene hai protetto il disco.

Posso pensare a molti modi per farlo:

• Filtraggio IP (spoofable)

• imposta i tunnel IPSEC durante l'installazione

• Autenticazione basata su certificato

• Richiede l'autenticazione VPN con qualcosa come un generatore di chiavi pseudo casuali su un token

Qualsiasi cosa è hackerabile, data la minaccia giusta.

Ogni meccanismo ha diversi modi di essere attaccato o compromesso. Gli indirizzi IP possono essere falsificati, i tunnel IP Sec o i certificati possono essere compromessi se l'utente malintenzionato entra nel disco rigido o le persone fanno qualcosa di stupido con i dati di sicurezza del computer. I token generatori di chiavi sono ottimi per essere separati dalla macchina, ma richiedono un software COTS e possono essere costosi.

L'autenticazione del certificato tramite SSL autenticato dal client di solito non è male da configurare - i server Web eseguiranno uno scenario di autenticazione molto semplicistico e dovresti essere in grado di limitare il server a un elenco di client attendibili in base al nome distinto del certificato . Se si utilizzano i certificati software, significa che sarà necessario installare una chiave privata separata per ciascun client. Ciò significa un certo livello di diligente gestione delle chiavi. È possibile caricare chiavi private in browser o altri archivi di certificati con una regola per il sistema operativo per non esportare la chiave privata. Alcuni di questi possono essere compromessi o modificati a seconda dei privilegi dell'utente, quindi la questione delle minacce interne.

Se si limita l'autenticazione del certificato all'autorizzazione del client SSL, non sarà necessario modificare alcuna logica del servizio Web a meno che non si disponga anche di requisiti di gestione dei privilegi più specifici.

Prima di tutto, hai bisogno della buona gestione dell'ID di sessione nei tuoi servizi Web .

In secondo luogo, consiglierei qualcosa come il Cookie Revolver Framework per legare il certificato lato client agli ID macchina (ad es. MAC indirizzo di NIC e / o numero di serie da un disco rigido) e indirizzi IP statici. Tuttavia, questi possono probabilmente essere falsificati utilizzando hardware virtualizzato in questo giorno ed età molto facilmente.

Vado per qualcosa in cui il certificato sul lato client è stato archiviato su qualcosa come un eDoken USB Aladdin (2048 bit sarebbe bello), ma poi si incollano fisicamente e altrimenti si impedisce la manomissione del dispositivo in una presa USB. Neanche questo funziona davvero bene - ma forse un chip TPM integrato sarebbe? Prova TrouSerS , sembra che abbiano l'autenticazione EAP-TLS basata su identità TPM.

Mi sembra che l'approccio migliore qui sia installare un certificato client con l'installazione thick-client. Se si desidera aggiungere un altro livello, è possibile fare qualcosa con il filtro del firewall, con il client che aggiorna una whitelist quando diventa attivo.

Puoi fare diverse cose che rendono difficile per l'utente finale estrarre il certificato. L'utilizzo di CryptoAPI di Windows e dell'archivio certificati locale può rendere difficile l'esportazione della chiave privata (se non impossibile) e consentire all'applicazione di usufruire dei CSP per passare le richieste al servizio Web.

Dal tuo profilo, suppongo che tu abbia scritto il client in .NET, quindi è probabile che tu possa trovare la maggior parte di questo sulle risorse MSDN a portata di mano. (Anche se questo è un punto di partenza: link )

Non riesco a trovare nulla riguardo alla possibilità o meno di impedire l'esportazione della chiave privata dall'archivio certificati, non significa che non sia possibile, ma se è stato fatto, è più difficile che una ricerca su Google sia trovare.