आवेदन अंतर्दृष्टि सुरक्षा और स्पूफिंग

Question

यह एक मूर्ख सवाल हो सकता है लेकिन क्लाइंट साइड एप्लिकेशन अंतर्दृष्टि स्पूफिंग से सुरक्षित है? माइक्रोसॉफ्ट अपने HTML पृष्ठ कि रिकॉर्डिंग और इस के हिस्से की जरूरत के लिए जावास्क्रिप्ट का एक सा जोड़ने के लिए कहेंगे शामिल एक कठिन कोडित उपकरण कुंजी (नहीं नीचे एक असली कुंजी!):

instrumentationKey: "3D486E8C-BDEF-43AB-B27A-9D3F9D42EC14" 

कोई हो प्रतीत नहीं होता है इस प्रमुख ग्राहक पक्ष (यानी यादृच्छिक रूप से विभिन्न संख्याओं के साथ कुंजी उत्पन्न करना और पृष्ठ सबमिट करना) को रोकने के लिए यूआरएल और कुंजी या किसी भी तंत्र के बीच अन्य संबंध।

इससे कोई नुकसान नहीं होगा, लेकिन यह गलत निगरानी डेटा के प्राप्तकर्ता को परेशान करेगा, जो कि कोई भी ऐसा करना चाहता है "क्योंकि वे कर सकते हैं"।

क्या मुझे कुछ मौलिक याद आया है कि यह क्यों संभव नहीं है?

Answer 1

जबकि वास्तव में एक नकली, मेरा मानना ​​है इस सवाल का जवाब काफी के रूप में यह एक ही है:

How does Google Analytics prevent traffic spoofing

जहाँ आप अपने कुंजी का उपयोग कर रहे ऐ यह नहीं पता कि या है, तो कैसे होगा वे जानते हैं कि कौन सा यातायात वैध है और कौन सा नहीं है?

Answer 2

यह बिल्कुल सही है कि अगर कोई उपकरण कुंजी को जानता है तो कोई भी किसी के एआई खाते में भ्रामक या कचरा डेटा लॉग कर सकता है। यह अधिकांश वेब अन्य एनालिटिक्स सिस्टम के लिए भी सही है: जानकारी लॉग करने का अनुरोध अनधिकृत भेजा जाता है और पर्याप्त कौशल वाला कोई भी व्यक्ति वैध उपयोगकर्ता डेटा का अनुकरण कर सकता है। तथ्य यह है कि एआई में पृष्ठ पर एम्बेडेड इंस्ट्रूमेंटेशन कुंजी है, यह आसान नहीं बनाता है क्योंकि फिडलर जैसे वेब ट्रैफिक मॉनीटर टूल का उपयोग करने वाले किसी भी व्यक्ति ने अभी भी अनुरोधों को रोक और अनुकरण कर सकते हैं, भले ही उपकरण कुंजी को पृष्ठ पर एम्बेड नहीं किया गया हो। यदि आपको संदेह है कि एक दुर्भावनापूर्ण उपयोगकर्ता उद्देश्य से आपके एआई कुंजी का उपयोग करके भ्रामक डेटा लॉग कर देगा, तो आपको सावधानी बरतनी चाहिए और यदि आपके व्यवसाय के निर्णय लेने से पहले डेटा समझ में आता है, उदाहरण के लिए, उदाहरण के लिए कितने उपयोगकर्ता डेटा प्राप्त करते थे और किस अवधि के दौरान समय, और क्या आपका क्लाइंट-साइड पृष्ठ दृश्य डेटा सर्वर-साइड अनुरोध डेटा से मेल खाता है।