hmacでjavascriptクライアントをセキュリティで保護

Question

私が取り組んでいるjavascriptアプリケーションを安全にする方法を研究しています。アプリケーションは、APE（Ajax Push Engine）をバックエンドとして使用するチャット・クライアントです。

現在、誰でもページにアクセスしてAPEサーバーにGET/POSTリクエストを行うことができます。私は登録ユーザーにチャットクライアントを提供したいだけです。彼らの要求だけが受け入れられるようにしたいと思います。 PHPでユーザ名/パスワード認証を使用して、ユーザにページを提供することができます。しかし、一度彼らはページを持っている、彼らはJavaScriptを変更したり、それが間違った手に落ちるのを止めるのですか？クライアント/サーバ・アプリケーションを保護するためのこの方法は有望に見える

：http://abhinavsingh.com/blog/2009/12/how-to-add-content-verification-using-hmac-in-php/

私はそれが秘密鍵を送信するに依存しないため、これはjavascriptのクライアントのために理想的であると言い、別のソースを持っています。しかし、これはどうやってできますか？上記のチュートリアルによれば、クライアントは秘密鍵を提供する必要があります。これは、javascriptを持っている人なら誰もそのユーザーの秘密鍵を持っているので、あまり安全ではないようです。私が理解から、それはこのような何かを動作します：

1. ユーザーログを
2. PHPは、ユーザー名とパスワードを検証し、ユーザー名とパスワードを使用して、ユーザの秘密鍵を検索し、JavaScriptの中にそれを挿入
3. Javascriptは署名（秘密鍵を使用）とすべてのAPE要求の公開鍵を提供します
4. APEは、計算された署名と受信した署名を比較し、要求を処理するかどうかを決定します。

javascriptアプリケーションが秘密鍵を認識する必要がある場合、これはどのように安全ですか？

ありがとうございました！

Answer 1

サードパーティが接続しようとしているAPIの方がHMAC認証が優れています。クライアントのブラウザに認証されたことを示すCookieを書き込むことで、アプリの利用率が向上するようです。その後、各Ajaxリクエストで、そのCookieを確認できます。

編集：私は、HMACがサードパーティ製のAPIでよりうまく機能していると言ったことを少し取り返します。伝統的にHMACでは、各ユーザーはそれぞれ独自の秘密鍵を取得します。私はこれがあなたのアプリケーションに必要とは思わない。おそらく、1つのマスター秘密鍵を保持し、各ユーザーに一意の「公開」キー（私はそれを公開キーと呼んでいますが、実際にはユーザーはそのキーについて知ることはありません）を与えるだけです。ユーザーがログインすると、2つのCookieが書き込まれます。ユーザの公開鍵+暗号化されたタイムスタンプと、タイムスタンプが何であるかを示す別の鍵との組み合わせであるもの。次にサーバー側で、暗号化されたキーを検証し、タイムスタンプが所定のしきい値内にあることを確認できます（アプリでアイドル状態になっている場合は10〜30分）。検証されている場合は、暗号化されたキーとタイムスタンプ、リンス、リピートを更新します。

Answer 2

答え：技術的にはcannot prevent the user from modifying the JavaScriptです。あなたはそれについて何もできないので、心配しないでください。

ただし、防御する必要がある攻撃はCross-Site Request Forgery（CSRF）です。異なるドメインにある悪意のあるスクリプトは、ブラウザに保存されたCookieを使用して自動的にフォームをドメインに送信することができます。それに対処するには、AJAXリクエストで送信された実際のデータに認証トークン（十分にランダムで、ユーザー名やパスワードに関係なく、チャットクライアントが存在するHTMLページで送信される）を含める必要がありますブラウザによって自動的に入力されません）。

Answer 3

javascriptアプリケーションが秘密鍵を認識する必要がある場合、このセキュリティはどのように安全ですか？

どうしてですか？それはユーザー自身の秘密鍵です。もし彼が他の人にそれを与えたいなら、それは彼の問題です。あなたのパスワードを与えてから、他の誰かがあなたのアカウントにアクセスできると言っても変わりません。

これについて少し考えてみると、公開鍵暗号化、HMACなどを実装する必要はないことが分かります。通信チャネル自体が安全である（HTTPSを使用しているなど）場合、通常のセッションベースの認証が行われます。