Witam,

pracuje teraz nad projektem gdzie są 2 aplikacje napisane w php (różne serwery). Aplikacje mają między sobą wymieniać dane za pośrednictwem internetu. Chciałbym aby wymiana odbywała się w bezpieczny sposób - tj:
- aby tylko aplikacja posiadająca autoryzację mogła "prosić" o dane i je otrzymywać - rozumiem, że tu trzeba przeprowadzić jakąś autoryzację na podstawie loginu i hasła
- miło byłoby aby dane były szyfrowane przed wysłaniem i odszyfrowywane po otrzymaniu (nie jest to konieczne, ale byłoby miło).

Z tego co wgryzłem się w temat to idealnym rozwiązaniem na komunikację między aplikacjami są webservices. O ile jednak znalazłem teksty na temat tego jak napisać serwer i klienta, to nie mogę znaleźć nic konkretnego na temat zabezpieczania danych, czyli jak sprawić aby klient przed uzyskaniem danych z serwera musiał się zalogować. Jak zrobić to bezpiecznie (bo chyba samo dodanie hasła i loginu i wysłanie tego postem wraz z innymi elementami zapytania klienta nie byłoby bezpieczne).

Byłbym wdzięczny za wskazanie tekstu/tutoriala lub opisanie w kilku słowach ogólnego zarysu jak to się robi w praktyce - mam wrażenie, że szukam pod złymi pojęciami lub źle rozumiem cały proces zabezpieczania webservices i dlatego Google nie może mi pomóc.

Soap + ssl + logowanie i ciężko będzie to złamać Możesz użyć także iptables
Czy serwery nie mogą być w jednej sieci?

Dzięki za odpowiedź.

W moim przypadku zdecydowałem się na XML-RPC - pierwszy raz robię coś podobnego, więc stawiam na prostotę. Ale to chyba akurat nie ma takiego wielkiego znaczenia bo idea jest taka sama. Konkretnie używam tej biblioteki bo znalazłem do niej przystępny tutorial.

Do tego na jednej z maszyn nie mam możliwości instalacji certyfikatu ssl, więc chyba nie da rady tego tak rozegrać. Chyba, że mogę obyć się bez certyfikatu i jakoś inaczej to szyfrować?

Dodam, że zależy mi na prostocie rozwiązania, bo trochę za wiele rzeczy, których nigdy dotąd nie robiłem pojawia się na raz ;-)

Więc jeżeli chcesz zaszyfrować dane tak aby mógł je odczytać tylko drugi serwer to nawet proste zabezpieczenie na ip oraz jakiś stały ciąg wysyłany w requescie (który znają tylko te 2 serwery) nie byłby zły.
W przeciwnym razie musisz zainteresować się szyframi z rodziny RSA.

od biedy xor + base64 i requestami jechać

kiedyś napisałem takie coś:

może sie przyda - wymaga dodania tajnego klucza

[PHP] pobierz, plaintext 
<?php
 
	class crypt {
 
		static private $key;
 
 
		private function __construct() {
			// dodać coś z config'a
			$this->key = 'tajnyKlucz';
		}
 
 
		public function encryptData( $value ) {
			if( !self::$key ) {
				self::$key = new crypt;
			}
 
			$iv_size = mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_ECB);
			$iv = mcrypt_create_iv($iv_size, MCRYPT_RAND);
			$crypttext = mcrypt_encrypt(MCRYPT_RIJNDAEL_256, self::$key->key, $value, MCRYPT_MODE_ECB, $iv);
 
			return $crypttext;
		}
 
		function decryptData( $value ) {
			if( !self::$key ) {
				self::$key = new crypt;
			}
 
			$iv_size = mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_ECB);
			$iv = mcrypt_create_iv($iv_size, MCRYPT_RAND);
			$decrypttext = mcrypt_decrypt(MCRYPT_RIJNDAEL_256, self::$key->key, $value, MCRYPT_MODE_ECB, $iv);
 
			return trim($decrypttext);
		} 
 
		public function base64_url_encode($input) {
			return strtr(base64_encode($input), '+/=', '-_,');
		}
 
		public function base64_url_decode($input) {
			return base64_decode(strtr($input, '-_,', '+/='));
		}
	}
 
 
	/*
	$szyfrowaneInformacje = '
		DATA:23-02-2010;
		EXPIRE:24-03-2010;
		ID:6066;
		LOGIN:sniver;
		CHANGE:email;
		VALUE:sniver@interia.pl;
	';
 
 
	$zakodowany = crypt::encryptData( $szyfrowaneInformacje );
 
	echo '<pre>';
 
	var_dump(
		$zakodowany
	);
 
	echo '<hr />';	
 
	var_dump(
		crypt::base64_url_encode( $zakodowany )
	);
 
	echo '<hr />';
 
	var_dump(
		crypt::base64_url_decode( crypt::base64_url_encode( $zakodowany ) )
	);
 
	echo '<hr />';
 
	var_dump(
		crypt::decryptData(crypt::base64_url_decode( crypt::base64_url_encode( $zakodowany ) ))
	);
 
	var_dump(
		crypt::base64_url_encode(
			array('id'=>123,'nazwa'=>'abc')
		)
	);
 
	echo '</pre>';
	*/
?>
[PHP] pobierz, plaintext 

Przemyślałem wszystkie opcje i na razie chyba zrobię tak:
- generalnie dane będą chwilowo nieszyfrowane - pokombinuje jeszcze czy uda mi się jakoś przerobić tą bibliotekę aby szyfrowała wszystko mcryptem, bo szyfrowanie ręcznie każdej składowej jest chyba zbyt uciążliwe. Musze pokombinować czy po stronie serwera da się zakodować wszystko w ostatnim kroku, a po stronie klienta odszyfrować wszystko jako krok pierwszy
- aplikacja będzie wysyłała jedynie login i hasło w celu autoryzacji
- jako, że klient i serwer mają stałe ip to chwilowo zastosuję filtrowanie po ip
- docelowo obie aplikacje będą pracować na vps'ach więc gdy to się stanie dodam certyfikat ssl i dojdzie szyfrowanie (na razie serwer niestety będzie na hostingu współdzielonym)

ps. snifer fajna klasa - uproszcza maksymalnie korzystanie z mcrypta ;-)