Kan een privéproxy alleen uw applicatie accepteren?
Legt de grenzen uit van beperkingen op applicatienaam en User-Agent en onderscheidt het bezit van inloggegevens van het bewijs van een bepaald uitvoerbaar programma.
Een doorstuurproxy kan inloggegevens vereisen, bronnetwerken beperken en doelbeleid toepassen. Die controles bewijzen niet dat de aanroeper één bepaald uitvoerbaar programma is.
Een User-Agent of aangepaste header wordt door de client geleverd en kan worden gekopieerd. Daarom is een applicatienaam in een verzoek niet geschikt als de enige poort naar een privéproxy.
Gebruik toegangscontroles die uitdrukken wat u werkelijk kunt valideren: een geautoriseerd account, een toegestane netwerklocatie en de beoogde bestemmingen. Bescherm en trek clientreferenties in via het gebruikelijke ontwerp van de applicatie voor geheimbeheer. Verifieer daarna toegestane en geweigerde verzoeken tegen de beoogde toegangsgrens.
Zelfs sterkere clientauthenticatie stelt het bezit vast van een goedgekeurde sleutel of referentie. Het mag niet worden beschreven als een absolute garantie dat geen enkel ander programma die referentie kan gebruiken.
Als de vereiste het afdwingen van de integriteit van beheerde apparaten of applicaties is, identificeer dat dan als een aanvullende systeemvereiste. Beloof het niet met een Squid-headerregel die alleen een tekenreeks herkent die de aanroeper zelf koos te verzenden.