3

我知道 HornetQ 提供

  1. 网络 SSL 传输
  2. 基于角色的安全模型

我的用例:

我的 HornetQ 服务器将/应该在任何人都可以访问的公共主机(=绑定到公共 IP 的服务)上运行(=任何人都可以通过端口扫描检测到服务......)

我的问题:

1.) 据我所知,netty SSL Transport 不提供通过 SSL 的身份验证(如果我认为它是正确的,这计划在 3.0 版本中发布)。所以它只保护传输,但每个人都可以连接到 HornetQ 服务器吗?

2.) Role Base Security 有 7 个可以授予的权限。我的问题是。如果我撤销所有权利,这是否被认为是安全的?如果有人在没有任何这些权限的情况下进行连接(并且默认用户没有分配特权/角色/全部撤销),HornetQ 会安全吗?还是强烈建议不要这样做,因为它仍然提供对系统的深入访问?

3.) 性能。在情况 2.) 中是安全的。有人用“未经身份验证”的消息攻击我的系统。基于角色的安全模型是在非常高的级别上实现的(因此不会消耗大量资源)还是这会使 DOS 变得非常容易,因为它必须深入到服务器中进行大量处理(并且还提供一个更多的攻击向量,因为攻击者将深入系统......)

非常感谢你!!马库斯

4

1 回答 1

2

1)是的,有一个功能请求。

2)如果您进行正确的配置,您应该是安全的。

3)性能应该没问题

但是,我不确定任何系统都会受到某种大规模攻击。除了基本安全性之外,您可能还需要其他类型的措施。

与任何其他软件一样,可能会有改进。作为 HornetQ 的项目开发人员/负责人,我们始终对任何建议持开放态度,我们将修复发现并相应提交的任何违规和错误。

于 2011-08-11T02:28:57.150 回答