Autenticazione multiserver sicura

Question

Autenticazione multiserver sicura

#1 da (1 voti)

1

Stavo leggendo le risposte in Come login diviso e logica di gioco durante la scrittura dei server? . Leggilo prima.

Ora voglio sapere quando questo metodo funzionerà e come può essere rotto. Penso che ci potrebbero essere modi migliori per farlo, ma la connessione client-gameserver (nel mio caso) dovrà iniziare in un canale non protetto. Ma la connessione al server di login è sicura. E il server di gioco ha un segreto condiviso con il server di login. Ma la connessione al server di giochi non è sicura.

Quindi quali sono i modi migliori per farlo? Hashing the IP in là sembra essere sicuro, ma non ne sono sicuro. Inoltre, questo dovrà funzionare velocemente, molto velocemente.

Questa è solo l'autenticazione. Non c'è bisogno di un canale sicuro tra gameerver e client.

authentication

posta MaxTheBackspace 12.06.2016 - 23:12

fonte

1 risposta

Leggi altre domande sui tag authentication

La pagina di amministrazione del router può essere falsificata da un utente malintenzionato? È possibile il DNS spoofare Exchange ActiveSync?

score 1 · Answer 1

Se le comunicazioni tra il server di gioco e il client non sono sicure, l'unica cosa che si sta proteggendo è l'informazione inviata attraverso il canale sicuro al server di login. Un utente malintenzionato può comunque rilevare la sessione sul server di gioco e quindi sfruttare l'identità senza le credenziali.

Hashing the IP

Anche se è vero che lo spoofing IP è difficile, non è impossibile . Anche questo avrebbe solo un valore come indicatore di identità se gli indirizzi IP non fossero condivisi e non cambiassero a metà sessione, nessuno dei quali è vero.

Senza TLS sul server di gioco non hai sicurezza. Una buona sicurezza richiede molte più cose.

this will have to work fast, very fast.

TLS aggiunge un sovraccarico alle prestazioni, ma è possibile influenzarlo in modo significativo ed è solo un componente del budget delle prestazioni.

A titolo di esempio, la domanda a cui ci si è collegati è basata sulla combinazione di autenticazione e funzione di un servizio che presenta scarsi risultati quando combinati. Questo non ha senso. Esistono buoni motivi per separare l'autenticazione da un servizio dedicato - ha requisiti di sicurezza molto specifici e rigorosi, quindi utilizzare un prodotto off-the-shelf ha delle attrazioni, anche l'isolamento concomitante rende più facile il riutilizzo del servizio di autenticazione.