¿Cómo puedo identificar de manera segura un dispositivo remoto (programado y auto programado) en PHP?

Punto de vista criptográfico: la única manera de distinguir, desde el exterior, un dispositivo falso de uno genuino es hacer que el dispositivo genuino "sepa" algún valor que el atacante no sepa .

Esto puede ser el equivalente de una "contraseña" (ya que no hay personas involucradas, esa contraseña puede ser una secuencia de 40 caracteres aleatorios, es decir, algo bastante fuerte y, por lo tanto, no puede ser descifrado por los atacantes). Puede almacenarlo en un encabezado HTTP personalizado o en el estándar "Encabezado de autorización" , o como un valor de cookie, o codificado como parámetro en la URL; todos estos son compatibles con la mayoría de los marcos web, tanto en el cliente como en el servidor.

También puede utilizar certificados X.509 . SSL es compatible con la autenticación de certificado del lado del cliente. En ese caso, el valor "secreto" en el dispositivo es una clave privada asimétrica (generalmente RSA) y usted debe organizar (con una costumbre PKI ) para la emisión de un certificado por dispositivo. Los certificados son geniales si no desea que su servidor guarde una copia de los secretos del dispositivo (o la versión de hash del mismo), por ejemplo. porque le gustaría implementar nuevos dispositivos sin tener que informar el servidor. Si eso no es un problema para usted, el método de "contraseña" será más fácil que tratar con certificados.

De cualquier manera, ciertamente no quiere poner el mismo valor secreto en dos dispositivos distintos. Realmente quieres tener secretos específicos del dispositivo ; de lo contrario, alguien que "abra" uno de sus dispositivos pondrá en peligro todo el sistema. Con los secretos específicos del dispositivo, puede deshabilitar la autenticación para algunos dispositivos subvertidos conocidos, desde el servidor, sin afectar a los otros dispositivos.

Sin un valor secreto de dispositivo de ningún tipo, su problema no tiene solución. En el Protocolo de Internet , las máquinas están aisladas unas de otras; solo ven las direcciones IP, que no están "protegidas" de ninguna manera. El alcance de los elementos de hardware como direcciones MAC se detiene en el primer enrutador (y pueden falsificarse fácilmente de todos modos).

  

si el dispositivo está detrás de un enrutador ... cualquiera podría forjar una actualización de estado con una dirección MAC falsa

Las direcciones MAC no cruzan los enrutadores.

  

haga que el servidor web realice una encuesta a los diferentes dispositivos podría ser una opción

Difícil cuando no sabes sus direcciones IP / están detrás de los enrutadores NAT.

  

hay alguna forma de confirmar la identidad de un dispositivo

Posibles soluciones:

1) use SSL para el intercambio de datos, y solo acepte datos de dispositivos que incluyan un secreto compartido en la solicitud (GET / POST / Cookies).

2) Utilice SSL con autenticación de certificado de cliente

3) use un mecanismo de autenticación basado en desafíos (tenga en cuenta que la autenticación de resumen HTTP tiene una serie de problemas que reducen su efectividad en ausencia de SSL) y con SSL, no hay una gran ventaja sobre la autenticación HTTP estándar

4) valida la solicitud contra un hash de variante de tiempo (sujeto a ataques de repetición dentro de la ventana de tiempo, requiere sincronización de reloj), por ejemplo,

url="http://yourserver.com/beacon?device=me";
var t = new Date();
t=t.getTime();
url+="&t=" + t;
var hash=md5(url+"sharedSecret");
url+="&hash=" + hash;