Come posso identificare in modo sicuro un dispositivo remoto (auto programmato incorporato) in PHP?

Punto di vista crittografico: l'unico modo in cui puoi distinguere, dall'esterno, un dispositivo falso da uno originale consiste nel fatto che il dispositivo originale "conosce" un valore che l'utente malintenzionato non conosce .

Questo può essere l'equivalente di una "password" (poiché non vi è alcun essere umano coinvolto, tale password può essere una sequenza di 40 caratteri casuali, cioè qualcosa di abbastanza strong e quindi non percettibile da parte degli attaccanti). Puoi archiviarlo in un'intestazione HTTP personalizzata o nell'intestazione "Autorizzazione" standard, o come valore di alcuni cookie o codificato come parametro nell'URL; tutti questi sono supportati dalla maggior parte dei framework Web, sia su client che su server.

Puoi anche utilizzare certificati X.509 . SSL supporta l'autenticazione del certificato lato client. In tal caso, il valore "segreto" sul dispositivo è una chiave privata asimmetrica (in genere RSA) e devi organizzare (con un PKI ) per il rilascio di un certificato per dispositivo. I certificati sono interessanti se non si desidera che il server conservi una copia dei segreti del dispositivo (o versione con hash di questi), ad es. perché vorresti distribuire nuovi dispositivi senza dover informare il server. Se questo non è un problema con te, il metodo "password" sarà più semplice rispetto ai certificati.

Ad ogni modo, certamente non vuoi mettere lo stesso valore segreto in due dispositivi distinti. Vuoi davvero avere segreti specifici per dispositivo ; altrimenti, qualcuno "apre" uno dei tuoi dispositivi metterà in pericolo l'intero sistema. Con i segreti specifici del dispositivo, puoi disattivare l'autenticazione per alcuni dispositivi sovvertiti noti, dal server, senza influire sugli altri dispositivi.

Senza un valore segreto del dispositivo di qualsiasi tipo, il tuo problema non ha soluzione. Nel Internet Protocol , le macchine sono isolate l'una dall'altra; vedono solo gli indirizzi IP, che non sono "protetti" in alcun modo. L'ambito degli elementi hardware come indirizzi MAC si ferma sul primo router (e possono essere simulati facilmente comunque).

if the device is behind a router...anyone there could forge a status update with a fake MAC address

Gli indirizzi MAC non attraversano i router.

have the webserver poll the different devices might be an option

Ingannevoli quando non conosci i loro indirizzi IP / sono dietro i router NAT.

is there any way of confirming the identity of a device

Possibili soluzioni:

1) usa SSL per lo scambio di dati e accetta solo dati da dispositivi che includono un segreto condiviso nella richiesta (GET / POST / Cookies).

2) Utilizza SSL con autenticazione certificato client

3) utilizzare un meccanismo di autenticazione basato su challenge - nota che l'autenticazione del digest HTTP ha una serie di problemi che ne riducono l'efficacia in assenza di SSL - e con SSL, non c'è un grande vantaggio rispetto all'autenticazione HTTP standard

4) convalidare la richiesta con un hash variegato nel tempo (soggetto a replay di attacchi nella finestra temporale, richiede la sincronizzazione dell'orologio), ad esempio

url="http://yourserver.com/beacon?device=me";
var t = new Date();
t=t.getTime();
url+="&t=" + t;
var hash=md5(url+"sharedSecret");
url+="&hash=" + hash;