Какова правильная стратегия для безопасной загрузки изображений с флэш-клиента? - PullRequest
0 голосов
/ 27 апреля 2010

Я создаю флеш-приложение, которое будет публиковать изображения на URL для последующего сохранения на диск / дисплей. Мне было интересно, каковы некоторые предлагаемые стратегии для того, чтобы сделать это достаточно безопасным, чтобы загрузка была проверена как исходящая из приложения, а не просто как случайная запись.

Достаточно ли надежно проверить ссылающееся местоположение, понимая, что мне не нужна пуленепробиваемая безопасность, или, возможно, установка аутентификационных заголовков - лучшая стратегия, даже если она кажется ненадежной из прочитанного.

Приложение и серверный скрипт будут находиться в одном домене и в java - есть ли способ проверить «сессию» или что-то в этом роде?

Еще одна мысль, которая у меня возникла, была какая-то простая система типа хешированного ключа, я мог жестко закодировать ключ во флэш-приложении и на его основе передать что-то серверу - сервер также будет знать этот ключ и сможет проверить если переданное значение было основано на этом?

Спасибо за любые советы и особенно за любые примеры - я наивен в этой области -b

Приложение является общедоступным, поэтому аутентификация пользователей невозможна. После дополнительных исследований я подумываю об использовании жестко запрограммированной клавиши соли на обоих концах, а затем отправке MD5-хеша кодированного изображения base64 в виде массива + соль для сопоставления на стороне сервера. Есть мысли об этой стратегии?

1 Ответ

0 голосов
/ 27 апреля 2010

Ваш вопрос можно обобщить так: «Как я могу быть уверен, что изображение загружено через мое (flash) приложение?». Ответ не может. Независимо от того, что вы делаете, определенный человек может перепроектировать ваше приложение или посмотреть трафик http, а затем использовать эту информацию для создания другого клиента (applet / silverlight / html form / standalone program) для загрузки файлов на сервер. В лучшем случае вы можете затенять, чтобы сделать вещи сложными. Но это не безопасность.

Вместо этого вы должны спросить: «Как я могу быть уверен, что изображение было загружено уполномоченным лицом?». Это возможно. Пользователь должен пройти аутентификацию через https, а затем загрузить файл. Прочитайте Руководство OWASP по управлению сессиями для получения дополнительной информации о том, как решить эту проблему.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...