Ho un servizio web S che fornisce determinati servizi. Ci sono due app Web, A1 e A2, entrambe su server diversi all'interno della stessa VPN, di cui mi fido e voglio concedere l'accesso al mio servizio web.
+------+ HTTPS +-----+ HTTPS +------+
| A1 | <---------> | S | <---------> | A2 |
+------+ +-----+ +------+
^ ^ VPN
. .|. . . . . . . . . . . . . . . . . . . . .|. . . . . . . .
| | Internet
| +----------+ |
| +----------+ |-------------------+
+--------| Browsers |-+
+----------+
Tuttavia, voglio essere in grado di distinguere in S tra i client A1 e A2. A1 potrebbe non avere gli stessi privilegi in S di A2. Inoltre, non posso essere sicuro che non ci potrebbe essere qualche altra app Web A3 attorno a quella di un malvagio installato nella stessa VPN. Quindi, il problema di base è che S ha bisogno di sapere con chi sta parlando.
Qualche altra precisazione: A1 è basato su JavaScript. Un JavaScript in un browser sta parlando al server Web A1. Il JavaScript non parla mai direttamente con S, comunque. Il server Web A1 ha alcuni mezzi per inoltrare messaggi a S, ad es. un semplice script PHP. Probabilmente non c'è modo di impedire agli utenti malvagi di contattare S attraverso A1 nello stesso modo in cui lo fa JavaScript. Per evitare l'abuso di questo, S è un servizio basato su sessioni che richiede un nome utente e una password per generare una chiave di sessione. I browser passano la chiave della sessione in A1 o A2, che poi la trasferiscono su S.
La domanda è: come può S identificare in modo sicuro A1 e A2 e bloccare qualsiasi altra chiamata?