0

Требуется сделать авторизацию для игры, таким образом, что бы для одного аккаунта можно было авторизоваться только на одном устройстве. В голову пришла только такая идея:

При авторизации клиент получает токен, также этот токен хранится в хранилище Redis. При каждом обращении к сокету клиент присылает свой токен, он сверяется с токеном в хранилище, и если токен совпадает, то генерируется новый токен, обновляется в хранилище и так же отсылается обратно клиенту вместе с полученными данными.

Например, кто-то украл токен пользователя, подставил себе, и обратился к сокету, получится так, что токен в хранилище обновится, и предыдущее устройство теряет авторизацию.

Подскажите пожалуйста, может есть какая то стандартная схема авторизации одного устройства?

9
  • Надёжнее один раз генерировать сертификат, и все данные подписывать им со стороны клиента, в пакете всегда иметь хеш от клиента с уникальными данными, серийными hdd,mb, имя машины + логин. Сервер тоже имеет свой сертификат, который и является root для выписанного клиенту. Ключ сервера публичный, записывается жёстко в клиент аппликацию. И не надо токенов, это модно, но эффективно. Проверка всех пакетов будет проходить на уровне реализованного серверного протокола.
    – NewView
    Commented 24 мар. 2019 в 8:17
  • А какие минусы в моей реализации, может где то есть дыра, которую я не заметил ? С виду кажется нормально )
    – webkostya
    Commented 24 мар. 2019 в 8:26
  • Безумно много телодвижений с открытыми по сути токенами, вопрос их клонирования кажется не составит труда, если будет достаточно желания.
    – NewView
    Commented 24 мар. 2019 в 8:28
  • Токен, это хеш, его должен генерировать клиент, на основании уникальной информации включая номера устройств итд где это запущено. Это и является уникальным логином. Соответственно если что то изменится в экосистеме, то данный токен (хеш) перестанет быть валидным в принципе. При выписке сертификата этот токен заносится в поле CN например. Подделать такую схему целиком на всех этапах маловероятно.
    – NewView
    Commented 24 мар. 2019 в 8:32
  • Клонировать токен в redis не получится, ведь он может быть создан только для одной учетной записи, то есть предполагается уникальность токена. Передавать можно и хеш токена, но тогда сопрут хеш и отправят его.
    – webkostya
    Commented 24 мар. 2019 в 8:36

1 ответ 1

0

Тема, на самом деле, очень обширная. Вариантов реализации уйма.

  1. При каждом обращении к сокету клиент присылает свой токен

    Не нужно токен присылать. По хорошему, нужно прикладывать хэш от передаваемых данных, а не сам токен. Сервак реальным токеном тоже потом получает хеш от данных, если хеши совпадают, то считаем, что токен валиден.

  2. то генерируется новый токен, обновляется в хранилище и так же отсылается обратно клиенту вместе с полученными данными.

    Токен нужно генерировать только при авторизации.

  3. Хранить нужно и в Редиске, и в основном хранилище (MySQL, Postres и т.п). После сверки хешей, если они не совпадают, обращаться в основное хранилище за реальным токеном. Обновлять токен в редисе и перепроверять хеш с новым токеном из основной базы.

11
  • Каким образом "Сервак реальным токеном тоже потом получает хеш от данных" ? серверу ведь придется лезть в базу за токеном
    – webkostya
    Commented 24 мар. 2019 в 7:56
  • @webkostya ну да, придётся. И? ) Commented 24 мар. 2019 в 7:56
  • Запросов по сокету может быть 60 раз в ссекунду, потом умножаем хотя бы на 1к пользователей, и получаем 60к запросов к базе в секунду, многовато, я хотел ограничить запросы в базу.
    – webkostya
    Commented 24 мар. 2019 в 7:57
  • @webkostya вам в базу в любом случае стучаться придётся. Даже в вашем варианте. Commented 24 мар. 2019 в 7:59
  • в базу придется стучатся только если кто то спер мой токен и он не совпадает с токеном в redis, а так с базой работать надо только по запросу (если юзеру что то надо).
    – webkostya
    Commented 24 мар. 2019 в 8:01

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.