我可以为小程序提供SSH凭据而不会泄露到整个Internet吗？

Question

我有一个可在Internet上使用的applet,它通过SSH隧道与内部服务器通信.必须为applet提供正确的SSH凭据.将它们编译到applet中并不是很方便; 在HTML中将它们作为applet参数提供,将它们泄露到Internet; 让applet从applet主机服务器下载它们但同样不那么明显.我的问题是,还有另一种我没有想到的方法,只有applet可以获得SSH凭据吗？我可能会让applet使用与浏览器相同的会话ID,在这种情况下,我至少可以将其限制为经过身份验证的用户......但我真的很喜欢更安全的解决方案,没有泄漏.

服务器堆栈有Tomcat,JSF和Facelets.Apache服务器和FTP也可用.

编辑:我应该澄清一下,除了DoS之外,我正在进行的内部服务本身是非常安全的,它更多的是我关注的内部主机的安全性,也不会成为任何地方的公共隧道.SSH PermitOpen配置元素在那里提供了很多帮助.

Answer 1

如果客户端的计算机必须登录到您的服务器,那么客户端将能够找出它正在使用的凭据.没有办法解决这个问题; 如果有人愿意,他们可以嗅到自己机器的互联网流量并找到它.

如果您绝对必须使用从客户端登录的ssh隧道,我建议使用公钥认证并在主机上生成密钥,然后通过临时为该密钥添加访问权限的API将公共密钥传递给服务器.