Limitar el acceso de la aplicación web a organizaciones específicas

IP Spoofing es difícil. Muy muy difícil. Difícilmente puede enviar un par de bytes en un protocolo simple mediante la suplantación de IP, por no hablar de una respuesta / respuesta.

Imagina hablar con alguien, pero solo poder hablar con él y no escucharlo. IP Spoofing es así. Debe predecir todas sus respuestas (a nivel de protocolo) y dar respuestas creíbles sin recibir nunca nada de ellas. No es fácil en absoluto.

Su problema principal no es que sea fácil de falsificar la IP (no lo es), sino que es fácil atacar a alguien en esas compañías y usar sus computadoras como proxy. Un correo electrónico de phishing terminará con alguien que esté ejecutando un programa de alguien externo y creará un túnel entre el atacante y su aplicación. Es poco probable, pero mucho más probable que una falsificación de IP.

Puede usar de forma segura una lista blanca de IP , y solo permitir a las personas de esa lista. Por lo general, las empresas tendrán un servidor de puerta de enlace (y proxy, e IPS / IDS y escáner de virus, todo en uno) y todas las solicitudes provendrán de esta puerta de enlace. Así que es sencillo crear una lista así.

Usted dijo que el inicio de sesión / contraseña no es una opción. ¿Por qué?