5

Estou criando um sistema central que valida as informações vindas de outros sistemas clientes via post e gostaria de saber se seria possível que alguém fizesse uma requisição post false se passando por um desse clientes? Usando, por exemplo o HTTP_REFERER de um cliente?

Se sim, o que posso fazer para me proteger?

1
  • Creio que seja recomendável o uso de algum tipo de autenticação (login e senha)... Ou algum sistema que a requisição inicial seja um código para obter os dados reais, o seu servidor recebe esse código e faz a requisição ao domínio do cliente, se ela for falsa o cliente vai recusar... Commented 6/09/2014 às 22:37

1 Resposta 1

7

Sim, é possível forjar tudo numa requisição HTTP. Nunca confie em dados vindos do lado cliente.

Independentemente da sua arquitetura, se seu servidor está se comunicando com outros sistemas é imprescindível que esses sistemas estejam autenticados. A maneira mais garantida de se fazer isso é via SSL/TLS, com certificados tanto no lado servidor quanto no lado cliente. Dessa forma garante-se tanto a autenticidade da comunicação como também sua confidencialidade.

Em um cenário web (http server + browser) costuma-se usar um certificado de segurança no lado servidor, esse assinado por uma Autoridade Certificadora (CA). No lado cliente, o usuário se autentica com um nome de usuário e senha. Alternativamente, usando também um certificado, mas isso é raro. A forma como isso é feito é autenticando somente o servidor durante o aperto-de-mão (handshake) do SSL/TLS e - estabelecido um canal seguro de comunicações - usa-se esse canal para transmitir os dados adicionais de autenticação (usuário e senha do cliente). Uma vez que este esteja também autenticado, ambos compartilham uma chave secreta (session key) que é verificada a cada requisição individual (no browser, essa chave fica normalmente num cookie).

Esse é o modo mais comum de operação, mas não é o mais adequado para casos em que um sistema se comunica com outro sistema. Se você possui controle sobre todos os sistemas envolvidos, em primeiro lugar você não precisa pagar a uma CA para assinar seu certificado - você o instala manualmente em cada cliente que for se comunicar com seu servidor. Além disso, cada máquina cliente pode também ter o seu próprio certificado, esse registrado na máquina servidora. Ao estabelecer a conexão segura, tanto o cliente valida o certificado do servidor, quanto o servidor valida o certificado do cliente. Uma vez estabelecida essa conexão, pode-se então confiar 100% nela, e usar todos os métodos HTTP à vontade, não importa se é GET, POST, ou outra coisa.

Verifique na sua plataforma como é o suporte a SSL/TLS e autenticação por certificados. A título de exemplo, Java possui o SSLSession e C# o SslStream. Como exatamente implementar isso é algo que infelizmente não tenho experiência suficiente para ajudar. De todo modo, independentemente de você seguir ou não essa sugestão, é importante que a autenticação dos clientes seja feita de algum modo, não confiando no Referer ou em qualquer outro parâmetro da conexão.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .