برنامه من اشکالش از نظر خودم کمبودهای مهمش ایناست:نوشته شده توسط golbafan
خب این همونیه که من در چند پست قبل اشاره کردم و روش کاربردی رو هم به همراه تعریف MITM براتون نقل کردم...
مساله همینه
امنیت باید همه جانبه باشه.
اشکالی هم که من از برنامه شما گرفتم مربوط به روش رمز نگاریتون نیست. بلکه مربوط به روش PPP در ارتباط رایانه هاست... حتی این مشکل در حالت P2P هم که معمولا در شبکه های داخلی شرکت ها و ادارات پیاده میشه موجوده
شما وقتی ارتباط این نرم افزارها رو برقرار میکنی بالاخره باید به فایر وال اجازه بدی که از این درگاهها اطلاعات رد و بدل بشه.
یک تست بهت میگم انجام بده...
نرم افزارت رو با حالت run as admin اجرا کن و ببین چه پیامی میده؟
اونوقت میبینی که فایر وال به خود نرم افزار این اجازه رو نمیده (چون امضا نداره) بلاکه داره درگاه رو برات باز میکنه و این خطرناکه
- باید برای هر جلسه ارتباطی یک session key جدید ایجاد و استفاده بشه (الان همیشه از master key استفاده میشه).
- مسئلهء پیچیده تر forward secrecy که نداره. برای این منظور باید از الگوریتم ها/پروتکل های پیشرفته ای استفاده کرد که باعث میشن اگر کلید اصلی دست نفوذگر بیفته با این حال نتونه ارتباطات قبلی رو رمزگشایی کنه. البته این یک ویژگی پیشرفته است که فکر میکنم خیلی از نرم افزارهای دیگر هم ندارن، ولی بهرصورت چیز خوبیه دیگه!! من دنبالش نرفتم دقیق نمیدونم چطور باید پیاده اش کرد، اونم برنامهء من که ارتباطش از طریق HTTP است و حالت سوکت مستقیم و پایدار نداره شاید به همین خاطر از یکسری کتابخانه های مربوطه نشه درش استفاده کرد.
- امکانی برای تغییر کلید از راه دور (از طریق سمت مانیتورینگ) باید بهش اضافه کنم ویژگی مفیدیه (هم کلید کلاینت ها و هم کلید سرور واسط رو بشه توسط برنامهء کنترل تغییر داد).
بقیش دیگه نمیفهمم چی میگی اصلا منظورت چیه! بنظرم باید بیشتر توضیح بدی. دقیقا بگو اشکال برنامهء من کجاست چطوری چه حمله و نفوذ یا سوء استفاده ای ازش ممکنه.
