如何提高客户端-服务器系统的安全性？答案

【问题标题】：How can I improve my client-server system's security?如何提高客户端-服务器系统的安全性？
【发布时间】：2010-03-01 23:38:05
【问题描述】：

我已经构建了一个客户端-服务器系统，客户端登录以通过服务器与其他客户端安全通信。

这是我系统的属性：

-客户端-服务器通信是 SSL 加密的

-客户端登录详细信息以哈希值的形式安全地存储在服务器本地存储的数据库中

-在登录时，每个客户端都会发送一个会话公钥以存储在服务器上，其他客户端使用该公钥来加密对称密钥。对称密钥用于以后的消息加密，防止服务器窃听

-在聊天开始时，指纹用户身份验证用于确保用户是他/她假装的人。它通常是通过电话读取指纹来完成的，指纹是两个公钥的 SHA256 哈希值，为了方便起见，它会被分成两部分并进行异或运算。

-MAC 随每条消息一起发送

您有什么建议可以改善这一点？我的服务器可能遭受哪些攻击？

谢谢

【问题讨论】：

【解决方案1】：

您似乎仍然可能遭受木马客户端应用程序的困扰，但您真正需要做的是从各种安全技术中退后一步。所有这些安全保护什么？谁愿意打破它？如果他们能打破它，他们会怎么做？对这些问题的回答将帮助您确定系统可能受到的攻击，并提出有用的对策。

【讨论】：

【解决方案2】：

您似乎在随意地看待这个问题 - 为您的设计构建一个威胁模型；缓解措施会来找你！从这里开始：http://www.microsoft.com/security/sdl/getstarted/threatmodeling.aspx

【讨论】：