単一のURLリクエストに基づいてデバイス/ユーザを認証する

Question

現在、OWASPのトップ10のセキュリティ対策の大部分を実装しているJ2EEシステムがあります。アプリケーションは現時点で、ユーザがパスワードに保存されたユーザ/データベース。

私は/*にマップされたJavaフィルターを使用して、ユーザーのログイン状態を判別するセッションおよびセッション属性の有無を確認します。

最後に問題があります：特定のイベントが発生したときにGPRS経由でURLリクエストを送信するデバイスを製造する会社と統合しています。このURLはGoogleシステムへのリンクです。

この 'デバイス'を認証するのと同じように（セキュリティを犠牲にすることなく）、デバイスに情報を送信することはできないため、単一のリクエストを認証する必要はありません。そのURLを '再生'

何らかの相互認証なしにこれが可能かどうかわかりません。チェックするIPアドレスのホワイトリストについて考えましたが、ネットワークは常にIPを変更し、デバイスはまだ「未確認」です。何かアドバイスをお願いしますか？

PS：私の一時的な解決策は、フィルタに例外を追加することでしたが、これは長期的ではなく、完全に安全ではありません。 （SSLもオプションではありません）

Answer 1

秘密鍵を使用してデバイスに要求（にはの一意の要求識別子を含む）を署名させることができます。次に、サーバーは、署名が有効であるかどうかをチェックし、署名が有効な場合にのみ要求を受け入れ/応答することができます。

要求IDを使用して、そのような要求が確実に再生されないようにすることができます。リクエストIDに単純なカウンタを使用すると、指定された識別子が既に使用されているかどうか（つまり、リクエストが再生されているかどうか）を確認することが非常に簡単であることを意味します。

Answer 2

主な問題は、デバイスに含まれるすべての認証情報が、デバイスを取得するとサードパーティが利用できるようになることです。

主な質問は、（デバイス自体、所有者またはデバイスの場所など）、（b）デバイスがサポートできる機能、それが何であるか、そしてそれが操作上の面で何ができるのかを示します。

デバイスが秘密鍵を保持し、抽出を試みるのを妨げるように設計されたスマートカードまたは暗号トークンを埋め込むことができる場合、デジタル署名はうまく動作します。

デバイスが保護されたメモリを持つことはできますが、暗号操作を実行できない（スマートカードを埋め込むことはできません）場合、デバイスごとに固有の事前計算されたワンタイムパスワードのリストを考えることができます。サーバーはグローバルリストのコピーを持ち、リストが使用されるとリストからパスワードを削除します。