互联网中TCP Socket服务器的实现过程需要考虑哪些安全问题？

首先，这是个很大的命题，之前在Top互联网公司负责过几个对外的服务的研发，也算是有点小经验，我试着答一下：

在Internet环境下，安全问题我主要分为如下几类：

  1. 信息传输过程中被黑客窃取
  2. 服务器自身的安全
  3. 服务端数据的安全

首先，如果能用https，就尽量用https，能用nginx等常见服务器，就用常见服务器，主要能避免以下问题：

  • 自己实现的协议&Server端可能会有各种Bug，被缓冲区溢出攻击等
  • SSL加密体系在防监听方面已经足够成熟，值得信赖

所幸，私有协议服务的攻击需要黑客分析协议，这就给一般的小服务增加了一层保护。但如果是在大公司做事，树大招风，就必须至少做到理论上没有安全漏洞。神马，xor混淆一下，C/S端写死一个对称密钥这种掩耳盗铃的事情就不要做了，不然会死的很难看。

如果需要自己实现Server端，实现一套合格的SSL还是很考验功底的：

  • 首先要弄明白SSL加密体系密钥交换的原理
  • 对各种对称、非对称加密算法要有深刻的理解
  • 用非对称加密算法怎么实现一套密钥交换体系
  • 如何处理ca证书，在自签名情况下怎么避免中间人攻击

工程实现过程中，要考虑：

  • 各种可能的缓冲区溢出攻击
  • SYN flood攻击，慢连接攻击
  • DDoS防起来有难度，但至少能防御DoS攻击

业务逻辑层面，要考虑：

  • 每个接口都要做好用户&权限验证
  • 接口会不会被人乱用，重放攻击
  • 攻击方会不会找到一个比较消耗服务端资源的接口，用很小的代价耗尽服务端资源
  • 用户的用户名密码会不会被通过接口破解，参见：2014 celebrity photo hack
  • 你的服务会不会被黑客利用去攻击别的服务，特别是会根据用户输入抓取什么资源的服务
  • 古老的SQL注入
  • 无耻的仿冒服务，DNS欺诈
  • 涉及HTML的，还要考虑跨站……

即使你做到了天衣无缝，还要考虑队友有时会掉链子：

  • glibc、openssl这些基础的库也会爆出漏洞，参见：Heartbleed
  • 同一台主机上的其它服务被攻陷

没有踩过很多坑，哪里知道很多事。写完之后整个人都不好了

欢迎加入Reboot运维开发千人群（365534424）  技术交流分享天天有

时间： 2024-11-08 10:15:29

互联网中TCP Socket服务器的实现过程需要考虑哪些安全问题？的相关文章

网络编程四：互联网中TCP Socket服务器的实现过程需要考虑哪些安全问题

这篇曾经是答在这里的 互联网中TCP Socket服务器的实现过程需要考虑哪些安全问题- auxten 的回答 最近总是有人问我相关的问题,在专栏补发一下,希望能帮到更多人 首先,这是个很大的命题,之前在360负责过几个对外的服务的研发,也算是有点小经验,我试着答一下 在Internet环境下安全问题我主要分为如下几类 1. 信息传输过程中被黑客窃取 2. 服务器自身的安全 3. 服务端数据的安全 首先,如果能用https,就尽量用https,能用nginx等常见服务器,就用常见服务器,主要能避

互联网服务器的实现过程需要考虑哪些安全问题 & 加解密及哈希知识点

http://www.cnblogs.com/charlesblc/p/6341265.html 其中的一篇. 参考 https://zhuanlan.zhihu.com/p/20336461?refer=auxten 网络编程(四):互联网中TCP Socket服务器的实现过程需要考虑哪些安全问题? 在Internet环境下,安全问题我主要分为如下几类: 信息传输过程中被黑客窃取 服务器自身的安全 服务端数据的安全 首先,如果能用https,就尽量用https,能用nginx等常见服务器,就用

golang中tcp socket粘包问题和处理

转自:http://www.01happy.com/golang-tcp-socket-adhere/ 在用golang开发人工客服系统的时候碰到了粘包问题,那么什么是粘包呢?例如我们和客户端约定数据交互格式是一个json格式的字符串: {"Id":1,"Name":"golang","Message":"message"} 当客户端发送数据给服务端的时候,如果服务端没有及时接收,客户端又发送了一条数据上来

C#中使用Socket实现简单Web服务器

原文地址:https://www.cnblogs.com/mq0036/p/6656888.html 最近有个web的小项目,但公司的电脑无法安装IIS,所以就想自己来实现个Web server服务器,原本想了下,也就是socket处理http请求,于是就在博客园中搜索了"socket实现web server",结果还真搜索到一些文章,于是从中找了几个做参考,如下: C#中使用Socket实现简单Web服务器 C#中使用Socket模拟请求Web服务器过程 C#中自己动手创建一个Web

Nginx 中 fastcgi_pass 监听端口 unix socket和tcp socket差

Nginx 中 fastcgi_pass 监听端口 unix socket和tcp socket差别 Nginx连接fastcgi的方式有2种:unix domain socket和TCP,Unix domain socket 或者 IPC socket是一种终端,可以使同一台操作系统上的两个或多个进程进行数据通信.与管道相比,Unix domain sockets 既可以使用字节流和数据队列,而管道通信则只能通过字节流.Unix domain sockets的接口和Internet socke

TCP socket 多线程 并发服务器（发送）与客户端（接收）

实现功能:Ubuntu上通过多线程实现服务器并发给客户端发送文件,携带包头,根据包头信息命名新文件.适用于短连接. 问题小结: 01. 调用嵌套在结构体中的结构体char 数组成员时,需要动态分配内存. 02. 使用select() 监听socket变化.select() 其中三个参数分别监听读,写,出错. 03. 每条线程在同时发送文件时,需要使用独立的变量,如accept(), FILE *fd, *buff 等,用结构数组 + 标号实现. 04. struct stat stat_buff

【Java TCP/IP Socket】TCP Socket通信中由read返回值造成的的死锁问题（含代码）

书上示例 在第一章<基本套接字>中,作者给出了一个TCP Socket通信的例子——反馈服务器,即服务器端直接把从客户端接收到的数据原原本本地反馈回去. 书上客户端代码如下: import java.net.Socket; import java.net.SocketException; import java.io.IOException; import java.io.InputStream; import java.io.OutputStream; public class TCPEch

iOS中 HTTP/Socket/TCP/IP通信协议详解

// OSI(开放式系统互联), 由ISO(国际化标准组织)制定 // 1. 应用层 // 2. 表示层 // 3. 会话层 // 4. 传输层 // 5. 网络层 // 6. 数据链接层 // 7. 物理层 // TCP/IP, 由美国国防部制定 // 1. 应用层, HTTP, FTP, SMTP, DNS // 2. 传输层, TCP, UDP // 3. 网络层, IP // 4. 链路层, ARP, RARP // HTTP(短连接) // 1. 建立链接, 三次握手 // 2. 断开

iOS中 HTTP/Socket/TCP/IP通信协议详解 韩俊强的博客

每日更新关注:http://weibo.com/hanjunqiang  新浪微博 简单介绍: // OSI(开放式系统互联), 由ISO(国际化标准组织)制定 // 1. 应用层 // 2. 表示层 // 3. 会话层 // 4. 传输层 // 5. 网络层 // 6. 数据链接层 // 7. 物理层 // TCP/IP, 由美国国防部制定 // 1. 应用层, HTTP, FTP, SMTP, DNS // 2. 传输层, TCP, UDP // 3. 网络层, IP // 4. 链路层,