Я разрабатываю легкий механизм защиты на FMS.В настоящее время я могу аутентифицировать пользователя, используя SSO Token, предоставленный главным сервером.Однако для аутентификации SSO Token требуется WebService / RemoteObject другого сервера, что дорого и нереально для большого числа одновременно работающих пользователей.Поэтому я создал сеанс для каждого успешно подтвержденного пользователя, вернул идентификатор сеанса обратно пользователю, и пользователь может использовать это для дальнейших подключений.
В этом решении меня беспокоит атака на захват сеанса.Самозванец может использовать этот идентификатор сеанса, чтобы получить мой поток, если он успешно прослушал запрос моего клиента.Чтобы предотвратить это, у меня есть два решения: во-первых, каждый клиент создаст два соединения с сервером, один SSL для управляющего сообщения (например, функция NetConnection.call), одно для потоковой передачи данных.Другой создает защищенный канал RTMPE для получения потока.Оба требуют большей вычислительной мощности для реализации (на 15% больше для второго, не знаю, сколько стоит первое).
Есть ли лучшее решение для моей проблемы?