2

У меня есть сервер и клиент написанные на си которые используют протокол tcp.

Вопрос: Как мне передавать эти данные через обыкновенные сокеты безопасно, чтобы клиент и сервер использовали асимметричное шифрование, может какой-то протокол поверх tcp впихнуть или все-таки вручную легче шифровать?

7
  • Конечно есть, SSL, он же TLS.
    – megorit
    13 авг 2020 в 20:45
  • Вот, OpenSSL - github.com/openssl/openssl
    – megorit
    13 авг 2020 в 20:47
  • @Egorithm , я слышал что его только в браузерах используют, не будет ли колхозом впиндюрить его в свою прогу?
    – virgin
    13 авг 2020 в 20:47
  • Нет, я пользовася им через Boost, Asio+Beast
    – megorit
    13 авг 2020 в 20:47
  • 1
    @0andriy, да ну нафиг этот libssl, непонятно и инфы мало
    – virgin
    15 авг 2020 в 13:49

1 ответ 1

5

Для TLS можно поднять пару haproxy (tcp->tls и tls->tcp).

Соответственно TCP клиенты идут на localhost, и TCP серверa слушают на localhost-е

Минусы:

  • возможна пара мс задержки
  • если на localhost кто-то забрался ... (то у нас уже всё плохо)
  • если клиент распространяется как инсталлятор, нужно уточнить возможность поставки/работы haproxy/stunnel для конкретной платформы

Плюсы:

  • не надо разбираться, как работают разные библиотеки на множестве платформ при написании софта.
  • не надо разбираться, как персобрать софт, который написал Вася 5 лет назад с новой версией библиотеки без дырок.
  • можно поставить несколько серверов на разных платформах на одном внешнем адресе:порту -- SNI.
  • можно поставить несколько инстансов сервера
  • легко интегрировать сервер, который уже написан с TCP

клиент:

global
  tune.ssl.default-dh-param 2048
defaults
  timeout connect 5s
  timeout client  3d
  timeout server  3d
  mode tcp

listen listen_$name
  bind $bind
  server s_$name $gate_addr ssl verify none sni str("$name.$sni_postfix")

сервер:

...
frontend fe443
  bind :443 ssl crt-list /etc/letsencrypt/haproxy/list.txt
  use_backend be_$name if { ssl_fc_sni -m dom $name }

backend be_$name
  server s_$name $to

($x заменяйте, сроки с ним можно размножать)


Вниманее, в примере сертификаты не проверяются: server ... verify none. Соответственно проверку серверного сертификата лучше включить.

Клиентов можно пускать по паролю, когда соединение уже зашифровано, чтобы не усложнять вопрос распространением клиентских сертификатов.

12
  • минусующим просьба раскрыть тему 14 авг 2020 в 10:25
  • Haproxy не починит клиент) там прийдется запускать stunnel (я поставил плюс)
    – eri
    14 авг 2020 в 13:06
  • Haproxy можно настроить, чтоб он слушал TCP и превращал в TLS. Я stunnel тоже использовал до haproxy. stunnel настроить легче, но haproxy работал чуть стабильней. 14 авг 2020 в 13:17
  • 1
    как хапрокси настроить на клиенте?
    – eri
    14 авг 2020 в 13:18
  • 1
    @SergeiKirjanov, а можно ли использовать haproxy или stunnel если клиентов неопределенное количество(они скачивают мой клиент и запускают его). Это же нужно настраивать stunnel на каждом клиенте или можно сразу сделать пакет где все будет настроено?
    – virgin
    15 авг 2020 в 10:50

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.