В настоящее время я разрабатываю программное обеспечение, которое требует, чтобы различные удаленные сайты могли безопасно подключаться к нашим серверам для доступа к базовому веб-приложению.
До сих пор я работал над настройкой клиент-серверной VPN - это, безусловно, очень безопасно, но есть много трудностей, связанных с подключениями Windows / Linux, маршрутизацией между клиентскими компьютерами и необходимостью дополнительных клиентских серверов / оборудования и т. Д. .
Теперь я думаю, что разрешение веб-доступа SSL с именем пользователя / паролем было бы приемлемым, если бы он был строго ограничен разрешенными диапазонами IP-адресов - я бы предположил, что эта настройка не будет безопасной, с IP-спуфингом и т.д., но я не могу найти кто-нибудь предупреждает об этом.
У меня вопрос, насколько это безопасно? Возможно ли, чтобы кто-то подделал IP-адрес клиента и все равно смог подключиться? Как это будет по сравнению с VPN?
Подмена IP-адреса для аутентификации в сети - непростая задача, но выполнимая. Большинство атак с подменой IP-адресов просто хотят скрыть свою личность, потому что они не заботятся о получении ответа (DDoS). Для успешного установления связи SSL вам необходимо иметь возможность перехватывать все пакеты для IP-адреса, который вы подделываете, потому что вам нужно на них ответить. Это можно сделать, но это чрезвычайно сложно поскольку вам потребуется доступ к определенным маршрутизаторам или вы будете в той же подсети, что и IP-адрес, которым вы претендуете.
Поскольку вы также добавляете механизм аутентификации, я не думаю, что его будет легко атаковать. Просто отслеживайте попытки входа в систему и реализуйте некоторые тресхолды, чтобы вы могли заблокировать IP-адрес после стольких атак (и механизм уведомления), и все будет в порядке.
Атака, основанная на подмене IP-адреса, будет очень целевой, поэтому уровень риска, вероятно, зависит от того, насколько ценной будет успешная атака.
Я думаю, что это хорошая защита от атак зондирования, и в сочетании с безопасным механизмом аутентификации было бы эффективно. Если вы можете достичь всего, что вам нужно, с помощью интерфейса https, то, вероятно, этого достаточно.
Ограничение по IP следует считать довольно безопасным, если передача вашего трафика также безопасна, вы должны использовать SSL. Если информация является слишком конфиденциальной, вы можете проверить SSL-сертификаты на стороне клиента, чтобы подтвердить доступ пользователей.
Я бы предположил, что эта установка не будет безопасной, с подменой ip и т. Д.
Вы не можете подделать IP-адреса.
Или: вы можете подделать обратный IP, но тогда вы никогда не сможете установить соединение.
Это все равно что сказать, что вы хотите, чтобы вам перезвонили, но вы даете ему неправильный номер телефона. Они могут перезвонить вам, но никогда не дойдут до вас.
Возможно ли, чтобы кто-то подделал IP-адрес клиента и все равно смог подключиться?
Нет. Они могут начать устанавливать соединение, которое затем застревает в полуоткрытом состоянии, так как они не получают ответных пакетов от сервера. Это известная (старая, но уже не имеющая практического применения благодаря syn-cookies) атака отказа в обслуживании (серверы не могут обрабатывать сотни тысяч полуоткрытых TCP-соединений). Но они никогда не смогут установить полноценную связь, не имея доступа к исходному IP через маршрутизацию.