Kan en privat proxy acceptera bara din applikation?
Förklarar gränserna för begränsningar av applikationsnamn och User-Agent och skiljer innehav av autentiseringsuppgifter från beviset för ett visst körbart program.
En vidarebefordrande proxy kan kräva autentiseringsuppgifter, begränsa källnätverk och tillämpa destinationspolicy. Dessa kontroller bevisar inte att anroparen är ett visst körbart program.
En User-Agent eller anpassad rubrik tillhandahålls av klienten och kan kopieras. Därför är ett applikationsnamn i en begäran olämpligt som den enda porten till en privat proxy.
Använd åtkomstkontroller som uttrycker det du faktiskt kan validera: ett auktoriserat konto, en tillåten nätverksplats och de avsedda destinationerna. Skydda och återkalla klientens autentiseringsuppgifter genom applikationens vanliga design för hemlighetshantering. Verifiera sedan tillåtna och nekade begäranden mot den avsedda åtkomstgränsen.
Även starkare klientautentisering fastställer innehav av en godkänd nyckel eller autentiseringsuppgift. Det bör inte beskrivas som en absolut garanti för att inget annat program kan använda den uppgiften.
Om kravet är att genomdriva integriteten hos hanterade enheter eller applikationer, identifiera det som ett ytterligare systemkrav. Lova inte det med en Squid-rubrikregel som bara känner igen en sträng som anroparen själv valde att skicka.