如何基于浏览器认证客户端的唯一性。

[kevinle]

使用场景，基于 BS 的架构，只能特定的电脑才能登陆。

[tanranran]

同求+1

[rrfeng]

浏览器指纹了解一下。

其实绝对上是不可能的，做客户端吧。
或者，认证客户端蜜密钥，加 USB key

[ReVanTis]

我们最近做的一个方案是把 pc 的一些硬件特征隐含在证书里，提交到服务器上签署以后放到 Yubikey 里，由 Yubikey 认证 pc 来登陆。
如果 pc 可以伪造这些硬件特征就没办法了，不过至少 Yubikey 不能伪造。

[Shura]

如果数量少，服务器部署 KDC(key distribution center)，然后给每个客户端都分发一个唯一的密钥。用对称加密或非对称加密都行。

[honeycomb]

Fido u2f，目前 chrome，Firefox 都支持。
如果不需要使用标准 API 的，看 @ReVanTis 的

[ReVanTis]

@honeycomb
我们似乎是用 ccid 的接口做的，python c/s 的。
只是提供一种思路，具体的技术应该有很多选择。

[honeycomb]

@ReVanTis webusb 可能就是靠 ccid 实现的？

[eric]

Mutual TLS

[foobar2000]

虚拟机破解之

[PHPer233]

楼主所说的特定电脑的 IP 地址是固定的吗？如果是固定的可以限制 IP

[kevinle]

@PHPer233 想过这个方案，通过 IP 限制，但客户端 IP 不固定，有想过客户端设置一个 DDNS 反向过去。

[kevinle]

@rrfeng 浏览器指纹不可行，需要唯一性，USB KEY 可带走，也不可行。
需要的是特定的电脑才可以登录。

[kevinle]

@ReVanTis
@honeycomb
@Shura
感谢，了解学习一下。主要目的是只能特定的电脑访问，而不是特定的人访问。

[rrfeng]

usb key 锁住。

如果说你控制不了硬件本体，那绝无可能指定硬件。

[nciyuan]

数字证书呀，或者 GA 那种动态密码的加密狗

[kevinle]

@rrfeng 是想实现只能特定的电脑访问，比如只能公司的电脑可以访问，但家里的电脑不能访问。USB KEY 可以带走，不能锁定电脑。