複数のユーザー

Question

すべて、

私は、マイクロコントローラに取り組んでいます（PIC32MZは、具体的には）。マイクロコントローラはTCP/IPスタックの実装を提供しており、ブラウザを使用してマイクロコントローラと通信することができます。

複数のユーザーがマイクロにアクセスしている場合、複数のユーザーを安全に区別するためのガイドラインが設定されていますか？

私がいない再発明ホイールしたいと思います...私は少し基本的なアクセス制御に見えた - しかし、それは大きなノーノー...

である私はまた、ログインページの作業を持っていますだから私はuserNameとパスワードを求めることができますが、私はローカルに作成し、さまざまなユーザーを管理するためのデータ構造を維持する必要がありますか？

問題がどこにあるのかを考えれば、組み込み環境で複数のユーザーを区別して管理するためのガイドラインが確立されていると思います。

ご協力いただきありがとうございます。敬具

、 ヴィンチェンツォ

---- EDIT ----

P.S. - 私は本当に自分ですべてをコーディングしなければならないとしたら、これは私が（フィードバックが再び評価されて）初めて

browser requests web page and sends a (possibly uninitialized) sessionID 

server extracts IP/sessionID 

if IP is blacklisted 
{ 
    deny web page and (re)start timer 
} 
else          // possible legit request 
{ 
    if IP/sessionID is valid    // existing user ! 
    { 
     process request 
    } 
    else         // new user? 
    { 
     if activeConnections < max AND globalNumberOfFailures < max  // if we have connections available and we are not under attack 
     { 
      request credentials 

      if credentials are valid   // legit user 
      { 
       create new unique sessionID 

       update IP/sessionID table 

       process request (and return sessionID) 

       activeConnections++ 
      } 
      else        // distracted user ? 
      { 
       deny request 

       globalNumberOfFailures++ (start timer) // system wide attack ? 

       if first fail for that IP 
       { 
        add IP to list of suspicious IPs 
       } 
       IP_failCounter++ 

       if IP_failCounter > max 
       { 
        blacklist IP, start timer 
       } 
      } 
     } 
     else 

      deny request 
    } 
} 

Answer 1

1. 人A訪問しているサイトを思い付いたフローチャートであり、彼はログインを参照してください形。 彼はそれを記入し、http POSTメソッドを使用してサーバーに送信します。

2. サーバーがPOSTメソッドを取得し、資格情報が有効であるかどうかを確認してください。 すべてが正常であれば、サーバーは現在の日付と時刻で連結されたユーザーログインの文字列からハッシュを作成します。ハッシュ、ログイン、日付&の認証時間は、サーバ上の何らかの種類のテーブルに追加されます（テキストファイルでも可能です）。この小さな貴重なハッシュは、 'Set-Cookie' httpヘッダーを介してユーザーに返されます。

3. サーバーがhttp要求を受け取るたびに、サーバーはハッシュで指定されたCookieもあるかどうかを確認します。サーバーこの要求はログインVIPによってなされる心に留めておく、テーブルのエントリでクッキーを比較した時間が満了していないかどうかを確認し、サーバー。

上記を実装し、あなたが行ってもいいです。それがどんなに楽しいか見てください。どのように 'sessionID'と呼んでいるかをユーザipとペアにしないでください。何とかそれを追跡するのは良いですが、異なるipから有効なsessionidを渡したユーザーを拒否しないでください。モバイルデバイスを持つ人は、しばしば自分のIPアドレスを変更する傾向があります。

私はもっと簡単な方法はないと思います。
それは楽しい運動かもしれません。