Để server giữ quyền quyết định

Vá một nhánh là đủ?

Nếu phần mềm hỏi server "license còn hạn không" rồi tự quyết, kẻ tấn công chỉ cần đổi kết quả của câu hỏi đó. Ký phản hồi giúp phát hiện câu trả lời giả, nhưng không ngăn ai đó bỏ qua luôn bước kiểm tra.

Biến giá trị thành thứ server trao

• Cấu hình hoặc nội dung quan trọng nằm trong biến chỉ trả về sau khi đăng nhập.
• Phép tính có giá trị chạy trên server: phần mềm gửi đầu vào, nhận kết quả.
• Khoá của dịch vụ bên thứ ba ở lại server; phần mềm gọi qua trung gian.

Cân bằng

Không phải tính năng nào cũng nên phụ thuộc mạng. Chọn vài điểm có giá trị nhất, để phần còn lại chạy ngoại tuyến.

Áp dụng với ClavisAUH

Biến bí mật chỉ đến tay phiên hợp lệ và không bao giờ đọc ngược từ dashboard. Kiểm soát phía server nằm trong Bảo vệ Standard, nên biến luôn đòi phiên đang sống mà bạn không phải bật gì.