데모 서비스를 위한 오픈 프록시(mod_proxy) 보안 방법

Question

클라이언트에는 고객 페이지에 약간의 자바스크립트를 추가해야 하는 서비스가 있습니다. 잠재 고객에게 보여주기 위한 마케팅 도구로서 저는 고객의 자바스크립트로 고객의 페이지가 어떻게 보이는지 보여주는 웹 앱을 만들었습니다. 정말 멋지고 영업팀도 좋아해요!

앱은 역방향 프록시(mod_proxy)를 사용하여 고객의 사이트가 우리 도메인에 있는 것처럼 보이도록 하므로 앱은 교차 사이트 스크립팅 제한 없이 자바스크립트를 추가할 수 있습니다. 이제 승인된 사용자로 제한됩니다.

이 설정은 잘 작동했습니다. 어쩌면 너무 잘 작동했을 수도 있습니다! 이제 CEO는 자신의 홈페이지를 통해 누구나 이 도구를 사용할 수 있도록 하려고 합니다. 하지만 우리 모두 알고 있듯이...

개방형 역방향 프록시는 거의 보편적으로 나쁩니다.

이 데모 앱을 가능하게 하는 방식으로 보안을 유지할 수 있는 방법이 있습니까? 즉, 스팸 발송자와 해커에게는 쓸모가 없지만 잠재 고객에게 몇 가지 데모 페이지를 보여줄 수 있을 정도로 기능을 손상시키려는 것입니까?

내가 가졌던 몇 가지 아이디어

• IP 주소별로 시간당 X개의 파일만 프록시되도록 허용합니다.
• GET 요청만 처리하도록 제한
• 쿠키를 설정하지 않음
• 프록시를 사용하지 않는 도메인 블랙리스트 유지(클릭당 지불 광고 서버)
• 페이지 콘텐츠("이것은 XYZ 서버가 아닙니다")에 경고를 삽입한 다음 내 애플리케이션 스크립트에 의해 제거됩니다.

다른 아이디어가 있습니까? 아니면 이것은 바보 같은 심부름입니까?

Answer 1

어쩌면 호스트에 http 인증을 추가하는 것으로 충분할 수도 있습니다. 이런 방식으로 영업 담당자는 데모 페이지를 고객에게 쉽게 보여줄 수 있지만 다른 사람은 접근할 수 없어야 합니다.

귀에 들리는 것을 방지하려면 https를 사용하는 것을 잊지 마십시오.