通信人家园

 找回密码
 注册
搜索
热搜: 家园 活动
恒扬科技

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-19 11:36:27 |显示全部楼层
本帖最后由 马云的云 于 2017-6-19 11:36 编辑

如果用服务器IP地址(或再增加端口号作为组合识别条件)作为定向流量的识别方式,怎么可能会被盗呢?

现在非要用什么请求字段做识别,这不是明摆着人为制造漏洞吗?



军衔等级:

  大校

注册时间:
2016-3-1
发表于 2017-6-19 12:50:43 |显示全部楼层
主要因为目标网站多使用CDN,你一个个加IP累不累,腾讯视频有多少个IP你自己想

点评

马云的云  不会用程序自动加吗?你认为腾讯一个人维护2000台服务器都是手工敲命令? 只有运营商的人不会编程序,才这么干。  详情 回复 发表于 2017-6-19 13:04

军衔等级:

  中校

注册时间:
2012-1-26
发表于 2017-6-19 12:56:17 来自手机 |显示全部楼层
服务器就那么安全?定向免流的差不多都是云化的服务器集群。某台服务器上有个代理您慢慢查去吧。查到了平台商也很无辜,真无辜还是装傻就难说了,终究这东东有钱赚。

军衔等级:

  一级通信军士

注册时间:
2014-10-12
发表于 2017-6-19 13:03:24 |显示全部楼层
应该用数字证书。
复用TLS层的数字证书挺好的,有适当证书的连接免流量。
然而还需要一些改造工作。
————————
我不确定能不能过重放攻击。如果客户端和服务端串通的话。这好像是个问题。

点评

马云的云  手机解密也会发热,我用vpn看youtubu,一会儿手机就发烫。不用vpn看普通视频就没事儿,看一个小时都不会发烫。  详情 回复 发表于 2017-6-19 13:07
马云的云  加密会增加服务器CPU负担,特别是大流量的视频服务器。  详情 回复 发表于 2017-6-19 13:06

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-19 13:04:28 |显示全部楼层
越祈 发表于 2017-6-19 12:50
主要因为目标网站多使用CDN,你一个个加IP累不累,腾讯视频有多少个IP你自己想

不会用程序自动加吗?你认为腾讯一个人维护2000台服务器都是手工敲命令?

只有运营商的人不会编程序,才这么干。

点评

zwp7812004  静态路由,一条一条,一台一台加。  详情 回复 发表于 2017-6-19 19:09
越祈  管理系统不通用,人家是腾讯的维护系统,你作为第三者读取不到他们的数据的,比如现在让你抓出腾讯视频的所有ip你咋抓  详情 回复 发表于 2017-6-19 18:50

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-19 13:06:01 |显示全部楼层
maybeonly 发表于 2017-6-19 13:03
应该用数字证书。
复用TLS层的数字证书挺好的,有适当证书的连接免流量。
然而还需要一些改造工作。

加密会增加服务器CPU负担,特别是大流量的视频服务器。

点评

maybeonly  SSL是趋势,问题不在这儿。有一些算法比如chacha20可以在手机上较快地运行,以及未来几乎可以肯定会有针对SSL的更多硬件级优化。 至于VPN,当然会比你直接调用消耗资源多,这是其他问题。别忘了,油管本身就是SSL的  详情 回复 发表于 2017-6-19 14:29

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-19 13:07:03 |显示全部楼层
maybeonly 发表于 2017-6-19 13:03
应该用数字证书。
复用TLS层的数字证书挺好的,有适当证书的连接免流量。
然而还需要一些改造工作。

手机解密也会发热,我用vpn看youtubu,一会儿手机就发烫。不用vpn看普通视频就没事儿,看一个小时都不会发烫。

军衔等级:

  一级通信军士

注册时间:
2014-10-12
发表于 2017-6-19 14:29:06 |显示全部楼层
马云的云 发表于 2017-6-19 13:06
加密会增加服务器CPU负担,特别是大流量的视频服务器。

SSL是趋势,问题不在这儿。有一些算法比如chacha20可以在手机上较快地运行,以及未来几乎可以肯定会有针对SSL的更多硬件级优化。
至于VPN,当然会比你直接调用消耗资源多,这是其他问题。别忘了,油管本身就是SSL的。
我在想的是,如果两边客户端和(免流量)服务器合作做重放攻击能不能免流量。

点评

马云的云  重放攻击如果能生效,SSL早废了。  详情 回复 发表于 2017-6-19 14:31

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-19 14:31:33 |显示全部楼层
maybeonly 发表于 2017-6-19 14:29
SSL是趋势,问题不在这儿。有一些算法比如chacha20可以在手机上较快地运行,以及未来几乎可以肯定会有针对 ...

重放攻击如果能生效,SSL早废了。

点评

maybeonly  单方面的重放攻击显然不能生效,因为按照协议,每次会生成不同的随机数。 然而如果双方面配合呢?会不会给旁路上的没有既往信息的观察者造成“连接合法,证书有效”的错觉? 也就是,双方故意不按照协议实现,而直  详情 回复 发表于 2017-6-19 14:37

军衔等级:

  一级通信军士

注册时间:
2014-10-12
发表于 2017-6-19 14:37:06 |显示全部楼层
马云的云 发表于 2017-6-19 14:31
重放攻击如果能生效,SSL早废了。

单方面的重放攻击显然不能生效,因为按照协议,每次会生成不同的随机数。
然而如果双方面配合呢?会不会给旁路上的没有既往信息的观察者造成“连接合法,证书有效”的错觉?
也就是,双方故意不按照协议实现,而直接用一组提前录制下来的真正的协商数据。

点评

马云的云  关键是SSL本身就是端到端的,如果用了SSL,现在靠DPI进行免流量的做法就行不通了。DPI无法侦测到请求的字段。  详情 回复 发表于 2017-6-19 14:38

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-19 14:38:27 |显示全部楼层
maybeonly 发表于 2017-6-19 14:37
单方面的重放攻击显然不能生效,因为按照协议,每次会生成不同的随机数。
然而如果双方面配合呢?会不会 ...

关键是SSL本身就是端到端的,如果用了SSL,现在靠DPI进行免流量的做法就行不通了。DPI无法侦测到请求的字段。

军衔等级:

  一级通信军士

注册时间:
2014-10-12
发表于 2017-6-19 14:40:59 |显示全部楼层
马云的云 发表于 2017-6-19 14:38
关键是SSL本身就是端到端的,如果用了SSL,现在靠DPI进行免流量的做法就行不通了。DPI无法侦测到请求的字 ...

证书是明文传输的……
不过好像第三方确实无法完全查证可靠性……
会出现包括伪造证书的误差……和ticket复用的误差……
那么路还很长……
但是SSL是趋势,去年水果就打算强推来着,后来缩了罢了。

点评

马云的云  证书是公钥,是明文传输的,但截获公钥没有意义,解密需要用私钥,而私钥是不传输的。  详情 回复 发表于 2017-6-20 12:08

军衔等级:

  大校

注册时间:
2016-3-1
发表于 2017-6-19 18:50:54 |显示全部楼层
马云的云 发表于 2017-6-19 13:04
不会用程序自动加吗?你认为腾讯一个人维护2000台服务器都是手工敲命令?

只有运营商的人不会编程序, ...

管理系统不通用,人家是腾讯的维护系统,你作为第三者读取不到他们的数据的,比如现在让你抓出腾讯视频的所有ip你咋抓

点评

马云的云  对接啊,双方各自负责开发各自的部分。  详情 回复 发表于 2017-6-20 11:32

军衔等级:

  四级军士长

注册时间:
2011-5-11
发表于 2017-6-19 19:09:32 来自手机 |显示全部楼层
马云的云 发表于 2017-6-19 13:04
不会用程序自动加吗?你认为腾讯一个人维护2000台服务器都是手工敲命令?

只有运营商的人不会编程序, ...

静态路由,一条一条,一台一台加。

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-20 11:32:03 |显示全部楼层
越祈 发表于 2017-6-19 18:50
管理系统不通用,人家是腾讯的维护系统,你作为第三者读取不到他们的数据的,比如现在让你抓出腾讯视频的 ...

对接啊,双方各自负责开发各自的部分。

点评

越祈  这就需要协商了,目前腾讯和电联有对接  详情 回复 发表于 2017-6-20 12:06

军衔等级:

  大校

注册时间:
2016-3-1
发表于 2017-6-20 12:06:58 |显示全部楼层
马云的云 发表于 2017-6-20 11:32
对接啊,双方各自负责开发各自的部分。

这就需要协商了,目前腾讯和电联有对接

军衔等级:

  少将

注册时间:
2016-5-5
发表于 2017-6-20 12:08:25 |显示全部楼层
maybeonly 发表于 2017-6-19 14:40
证书是明文传输的……
不过好像第三方确实无法完全查证可靠性……
会出现包括伪造证书的误差……和tick ...

证书是公钥,是明文传输的,但截获公钥没有意义,解密需要用私钥,而私钥是不传输的。
您需要登录后才可以回帖 登录 | 注册

Archiver|手机版|C114 ( 沪ICP备12002292号 )|联系我们 |网站地图  

GMT+8, 2017-6-29 08:25 , Processed in 0.124801 second(s), 15 queries , Gzip On.

Copyright © 1999-2017 C114 All Rights Reserved

Discuz Licensed

回顶部