Есть апплет который перед началом его работы запрашивает данные с сервера. Делается это через POST запрос, и получение стринга ответа.
Всё хорошо, даже прекрасно и безотказно пашет. 
(на вопрос: "зачем делать такую хрень, почему не сделать через Servlet?" сразу отвечу: нужно было удешевить хост для клиента.)

Далее возникла проблемма:
Так ка в принцепе можно отследить какие данные уходят чезер POST. Соответственно, если приложить немного усилий, можно достать почти всё что хочется (ну конечно если сильно кому то захочется насолить).
А теперь вопрос:
Какие варианты защиты информации существуют для описанного случая?

Добавлено через 41 секунду
конечно же кроме просто тупой кадировки стринга...

Может быть HTTPS

Но это проблемму не решает. В чём проблемма создать у себя на локалке запрос, отправить его и получить ответ?
Хоть это HTTPS хоть нет, не важно.
И ещё одно, я думал, на пример не возвращать ответ никому кроме того кто его моимеет право получить (я имею в виду отслеживать от куда пришёл запрос), но я должен обслужить неограниченное количество клиентов, так что с этим проблемма, уже не говоря о том что с могу по нормальному получить только IP того откуда пришёл запрос, а это ещё более усложняет.

обычно право имеет тот, кто знает login/password . А как еще?

Важно. Можно настроить сервер так, что он будет запрашивать сертификат клиента, и соответственно если клиент его не имеет, то он никаких данных не получит. Хотя может это вам не подойдёт, сертификат на клиенте нужно иметь заранее.

Дело в том что цлиент, это каждый смертный. Разрешение не у того кто пользуется программой, а у сайта на котором она сидит.

ShurikA, не совсем понятно - что вам нужно. Думаю стоить описать ситуацию более подробней.

У вас есть апплет, взаимодействующий через http с сервером.
1. Вам нужно чтобы, передаваемые данные нельзя было получить третьей стороне?
2. Вам нужно чтобы, серверная часть принимала запросы и отправляля ответы - ограниченному кругу людей?
3. Вам нужно чтобы, запрос мог послать только апплет (пользователь вручную посылать не может)? (Вот этот пункт вызывает сомнение? Вам это действительно нужно? Если да, то для какой цели? (скорее всего механизм выбран неправильно)).

Это сообщение отредактировал(а) Alexandr87 - 21.12.2007, 18:29

Alexandr87, 

Имменно так.

Так как апплет расчитан для пользователей сайта, которые на самом деле даже не имеют понятия (да им и не нужно) о том что происходит закулисами; сервер должен отправлят ответ только ограниченному кругу "домейнов" на котором бежит этот апплет. Единственное что знает о себе апплет это только домейнное имя где бежит.

В принцепе да нужно. В определённых случаях апплет должен налаживать связь с сервером через FTP. Так как апплет обслуживает неограниченное количество серверов, данные FTP для каждого из них другие. Соответственно, 'ти данные он получает через http от главного сервера. Вот их и не хотелось бы никому давать.

Но тут наверняка появится вопрос, почему всё так сложно. Ответ:
Апплет работает на сайтах клиентов. При этом загружается с другого сервера (центрального). Все данные о том как работать с сервером клиента тоже находятся на центральном. По этому для полноценной работы апплета с сервером клиента он регистрируется на центральном сервере (для проверки лицензии и получения всей нужной ему информации), и только после этого начинает работу.

 - Апплет размещается на страничках сайтов клиентов владельца апплета.

- В браузер апплет загружается всегда с сервера владельца апплета. 

 - Апплет должен обмениваться информацией с сервером владельца сайта (который является клиентом владельца апплета). 

- Как защить апплет от несанкционированного использования, чтобы он работал только на сайтах клиентов владельца апплета?

Теперь вроде понятна суть проблемы.



Это сообщение отредактировал(а) COVD - 22.12.2007, 17:38