2

У меня есть сервер и клиент написанные на си которые используют протокол tcp.

Вопрос: Как мне передавать эти данные через обыкновенные сокеты безопасно, чтобы клиент и сервер использовали асимметричное шифрование, может какой-то протокол поверх tcp впихнуть или все-таки вручную легче шифровать?

7
  • Конечно есть, SSL, он же TLS.
    – megorit
    13 авг 2020 в 20:45
  • Вот, OpenSSL - github.com/openssl/openssl
    – megorit
    13 авг 2020 в 20:47
  • @Egorithm , я слышал что его только в браузерах используют, не будет ли колхозом впиндюрить его в свою прогу?
    – virgin
    13 авг 2020 в 20:47
  • Нет, я пользовася им через Boost, Asio+Beast
    – megorit
    13 авг 2020 в 20:47
  • 1
    @0andriy, да ну нафиг этот libssl, непонятно и инфы мало
    – virgin
    15 авг 2020 в 13:49

1 ответ 1

5

Для TLS можно поднять пару haproxy (tcp->tls и tls->tcp).

Соответственно TCP клиенты идут на localhost, и TCP серверa слушают на localhost-е

Минусы:

  • возможна пара мс задержки
  • если на localhost кто-то забрался ... (то у нас уже всё плохо)
  • если клиент распространяется как инсталлятор, нужно уточнить возможность поставки/работы haproxy/stunnel для конкретной платформы

Плюсы:

  • не надо разбираться, как работают разные библиотеки на множестве платформ при написании софта.
  • не надо разбираться, как персобрать софт, который написал Вася 5 лет назад с новой версией библиотеки без дырок.
  • можно поставить несколько серверов на разных платформах на одном внешнем адресе:порту -- SNI.
  • можно поставить несколько инстансов сервера
  • легко интегрировать сервер, который уже написан с TCP

клиент:

global
  tune.ssl.default-dh-param 2048
defaults
  timeout connect 5s
  timeout client  3d
  timeout server  3d
  mode tcp

listen listen_$name
  bind $bind
  server s_$name $gate_addr ssl verify none sni str("$name.$sni_postfix")

сервер:

...
frontend fe443
  bind :443 ssl crt-list /etc/letsencrypt/haproxy/list.txt
  use_backend be_$name if { ssl_fc_sni -m dom $name }

backend be_$name
  server s_$name $to

($x заменяйте, сроки с ним можно размножать)


Вниманее, в примере сертификаты не проверяются: server ... verify none. Соответственно проверку серверного сертификата лучше включить.

Клиентов можно пускать по паролю, когда соединение уже зашифровано, чтобы не усложнять вопрос распространением клиентских сертификатов.

12
  • минусующим просьба раскрыть тему 14 авг 2020 в 10:25
  • Haproxy не починит клиент) там прийдется запускать stunnel (я поставил плюс)
    – eri
    14 авг 2020 в 13:06
  • Haproxy можно настроить, чтоб он слушал TCP и превращал в TLS. Я stunnel тоже использовал до haproxy. stunnel настроить легче, но haproxy работал чуть стабильней. 14 авг 2020 в 13:17
  • 1
    как хапрокси настроить на клиенте?
    – eri
    14 авг 2020 в 13:18
  • 1
    @SergeiKirjanov, а можно ли использовать haproxy или stunnel если клиентов неопределенное количество(они скачивают мой клиент и запускают его). Это же нужно настраивать stunnel на каждом клиенте или можно сразу сделать пакет где все будет настроено?
    – virgin
    15 авг 2020 в 10:50

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.