Checksummenprüfung bei Client Server kommunikation

[Markus XXX]

Hallo zusammen.

Ich habe eine Client Server Anwendung, wobei der Client Java Objekte an den Server sendet, der diese dann abarbeitet, z.B. Lösche Datei XY.
Im Worst Case könnte ein Dritter nun mittels Sniffer ein solches Objekt abfangen, deserialisieren,
den Dateipfad der zu löschenden Datei manipulieren und an den Server senden.

Mein erster Ansatz so etwas zu unterbinden wäre eine verschlüsselte Kommunikation gewesen, was wg. technischen Problemen leider nicht funktioniert (Cipher ist doch manchmal recht eigenartig im Einsatz mittels Sockets, wobüber ich hier aber nicht diskutieren möchte).

Mein aktueller Ansatz ist das Bilden einer Checksumme über das gesendete Objekt.
Gibt es eine "einfache" Methode eine Prüfsumme von einem Java Objekt zu bilden, über welche ich feststellen kann, ob dieses verändert wurde? Ich würde diese Prüfsumme dann einfach als RSA verschlüsselter Text dem gesendeten Objekt anhängen und der Server könnte die Echtheit validieren.

Mein einziger aktueller Ansatz wäre das Einlesen des Objektes in einen Bytestrom und Bilden eines MD5
Hashes mittels MessageDigest.
Gibt es hier jedoch einen einfacheren Weg?

 

[ChristianK]

Ja, auf SSL-Sockets umstellen

Ansonsten bleibt dir nichts anderes übrig als mittles MD5 oder SHA zu hashen und mittels des Private-Key zu verschlüsseln. Das ganze auf Server-Seite mittels public-Key entschlüsseln und den Hash vergleichen.

 

[crypto]

Also ich empfehle ssl-sockets !

Leicht geändertes Szenario:
Angreifer fängt per Sniffer Objekt mit mit per RSA signiertem Hash-wert ab,
dieses Objekt löscht beispielsweise Datein /abc/def/xy.z
Irgendwann erstellst du die Datei /abc/def/xy.z erneut.
Jetz sendet der Angreifer Sein damals abgefangenes Objekt zum löschen der Datei an den Server ->
Datei wird (unauthorisiert) gelöscht.

Siehe: Replay-Attacks

Du solltest mindestens einen Zeitstempel mit in das Objekt aufnehmen, der dann auch gehasht wird.

Aber wie gesagt SSL-Socket!

 

[Markus XXX]

... eigentlich korrekt, ich habe im der Prüfstring aber ein Datum eingearbeitet welches auf Serverseite auf Gültigkeit geprüft wird.
Das Ganze mit SSL Socket umzusetzen wäre aber durchaus eine Alternative ...