¿Cómo implementar la identificación segura de dispositivos en un enrutador wifi de pago para evitar el fraude de uso?

9

Después de leer esta pregunta acerca de cómo los enrutadores wifi de pago identifican dispositivos específicos, me hizo pensar en qué alternativa segura podría ser. Sé que ciertas investigaciones se han centrado en identificar dispositivos por su firma del navegador y por su firma de sesgo de reloj de hardware . Lo primero puede ser derrotado cambiando la firma del navegador, y lo último es difícil de implementar y toma tiempo para crear la línea de base.

Las direcciones MAC pueden modificarse, las direcciones IP pueden rotarse y las cookies pueden ser secuestradas o borradas accidentalmente (por ejemplo, en el caso del enrutador wifi de pago, eso sería indeseable). ¿Existen alternativas prácticas para identificar un dispositivo específico? ¿Existen características de hardware que sean consistentes, inalterables e innegables (p. Ej., Las ID de CPU [aún están implementadas?], Pero quizás los TPM?)

¿Cómo usted protege un enrutador wifi de pago para evitar que otros obtengan acceso gratuito?

    
pregunta logicalscope 01.01.2012 - 19:53
fuente

2 respuestas

5

La única forma de identificar con precisión un cliente específico en una red sería con la criptografía. Si cada cliente tuviera su propio par de claves asimétricas y usted usara una VPN SSL, sería mucho más fácil hacer cumplir las reglas de uso de recursos.

Panopticlick nunca funcionaría para esto. La firma del navegador cambiará debido a las actualizaciones o la instalación de nuevos complementos / idiomas / etc. No solo eso, sino que este valor es tan fácil de falsificar como una dirección MAC, simplemente ejecute Panopticlick en el navegador de la víctima y luego modifique su sistema para que coincida. La conclusión es que las huellas digitales del software son demasiado fáciles de engañar y son propensas a errores.

Mi intuición es que las huellas dactilares del hardware no son el camino correcto. ¿Qué pasa si el atacante tiene hardware idéntico? Macbooks son muy populares en estos días. Nuevamente, este tipo de coincidencia difusa es propensa a errores y podría producir falsos positivos / falsos negativos.

    
respondido por el rook 01.01.2012 - 22:04
fuente
0
  

¿Cómo aseguraría un enrutador wifi de pago para evitar que otros obtengan acceso gratuito?

Falta contexto, pero intentaré hacer conjeturas razonables.

¿Para quién?

Esta es la pregunta más importante. Si su audiencia objetivo es compulsivamente honesta e infaliblemente puntual en el pago, la mayoría de las otras preguntas son de poca importancia. Sin embargo, una respuesta más realista incluiría un porcentaje significativo de usuarios dispuestos a engañar o robar. Entonces, ¿quién necesita estimar sus capacidades informáticas para determinar su capacidad para engañar al sistema si se le da la oportunidad?

¿Dónde?

Vamos a elegir arbitrariamente Vancouver en el área del centro. Esto atraerá a una variedad de usuarios, desde vacacionistas hasta personas de negocios. Ciertamente, un área con una alta tasa de flujo de personas puede producir explosiones de alta demanda y tiempos muertos confiables.

¿Cuánto?

Esto es crítico para su pregunta. Cuando el costo supera lo que algunos usuarios consideran una cantidad justa, algún porcentaje de los usuarios intentará robar el servicio. Pueden intentar pagar por algún servicio y usar más de lo que tienen derecho o pueden intentar recibir el servicio sin pagar. Cuanto mayor sea el costo, mejor será su beneficio, pero más usuarios intentarán robar el servicio. Desafortunadamente, es difícil decir qué es lo que la mayoría de los usuarios consideran justo y qué es justo por debajo del costo de proporcionar el servicio (lo que significa un beneficio negativo). Aún así, si es factible, recomendaría una encuesta simple de lo que los usuarios probables estarían dispuestos a pagar.

Base de tarifas.

¿Cómo cobrarás a los usuarios por el servicio WiFi? Mi mejor conjetura es la tarifa diaria plana con un precio de tres días, cinco días, semanalmente y mensualmente.

Identificación

Esto es complicado. Preferiría la transacción inicial en persona, pero dada la naturaleza del negocio, esto parece poco práctico. Creo que permitiría el registro remoto y el pago a través de una conexión SSL. Luego genere o registre una clave pública y enlace el pago a la clave pública.

Autenticación

OAuth Ya está implementado y tiene un uso significativo. Una alternativa sería Microsoft PKI con Windows Server 2008, pero puede ser más difícil autenticar a los usuarios con Linux, Android, Mac OS X, etc.

    
respondido por el this.josh 03.01.2012 - 05:51
fuente

Lea otras preguntas en las etiquetas