URL Secure Token - Comment est-ce sûr? Authentification proxy comme alternative?

Je le connais comme une URL sécurisé à jeton, maby il y a un autre nom là-bas. Mais je pense que vous le savez tous.

Son Teqniuque surtout appliqué si vous souhaitez limiter la livraison de contenu à un certain client, vous avez remis une URL spécifique à l'avance.

Vous prenez un jeton secret, ce qui le concaténe avec la ressource que vous souhaitez protéger, a-t-elle et lorsque le client demande la présente URL sur l'un de votre serveur, le hachage est ré-construit à partir des informations recueillies à partir de la demande et de la hachage est comparé. Si c'est la même chose, le contenu est livré, sinon l'utilisateur est redirigé vers votre site Web ou autre chose.

Vous pouvez également mettre un horodatage dans le système doit mettre le temps de vivre sur l'URL ou inclure l'adresse IP des utilisateurs pour limiter le Delivere à sa connexion.

Ce Teqnique est utilisé par Amazon (S3 et Cloudfront), niveau 3 CDN, Rapidshare et beaucoup d'autres. C'est également une partie de base de l'authentification HTTP Digest, altale il y a une étape supplémentaire avec une invalidation de liaison et d'autres choses.

Voici un lien vers le Amazon Docs si vous voulez savoir plus.

Maintenant, mes préoccupations avec cette méthode sont que si une personne craque un jeton de vos liens, l'attaquant obtient votre jeton clair-texte et peut signer n'importe quelle URL dans votre nom lui-même.

pire, dans le cas d'Amazon, accédez à vos services sur une portée administrative.

accordé, la chaîne hachée ici est généralement assez longue. Et vous pouvez inclure beaucoup de choses ou forcer même les données à avoir une longueur minimale en ajoutant des données inutiles à la demande. Maby Quelques pseudo variables dans l'URL qui n'est pas utilisée et remplissez-la avec des données aléatoires.

Par conséquent, la force brute attaque de craquer le SHA1 / MD5 ou tout ce que vous utilisez Hash sont assez difficiles. Mais le protocole est ouvert, vous devez donc seulement remplir l'écart où se trouve le jeton secret et remplissez le reste avec les données connues de la requête. Et aujourd'hui, le matériel est génial et peut calculer les MD5 à un taux de plusieurs dizaines de mégaoctets par seconde. Ce type d'attaque peut être distribué à un cloud informatique et vous n'êtes pas limité à quelque chose comme "10 essais par minute par un serveur de connexion ou", ce qui fait des approches de hachage généralement assez sécurisées. Et maintenant avec Amazon EC2, vous pouvez même louer le matériel pendant de courte durée (battez-les avec leurs propres armes haha!)

Alors, que pensez-vous? Faites mes préoccupations ont une base ou suis-je paranoïque?

Cependant,

Je concevons actuellement un nuage de stockage d'objets pour des besoins spéciaux (codage trans in intégré et méthodes de livraison spéciales telles que le streaming, etc.).

Maintenant Niveau3 a introduit une approche alternative pour sécuriser les URL de jeton. Sa version bêta actuelle et ouverte uniquement aux clients qui le demandent spécifiquement. Ils l'appellent "authentification proxy".

Que se passe-t-il, c'est que le serveur de livraison de contenu apporte une demande de tête à un serveur spécifié dans les paramètres (les paramètres du client) et imite la demande des utilisateurs. Donc, la même chose d'obtention d'un chemin et une adresse IP (comme x_forwarder) est passée. Vous répondez avec un code d'état HTTP qui indique au serveur d'aller une tête avec le contenu de la livraison ou non.

Vous pouvez également introduire un processus de jeton sécurisé à cela et vous pouvez également mettre plus de restrictions à ce sujet. Comme laisser une URL seulement être demandée 10 fois ou plus.

Il vient évidemment avec beaucoup de frais généraux car une demande supplémentaire et des calculs ont lieu, mais je pense que c'est raisonnable et je ne vois aucune mises en garde avec elle. Êtes-vous?