如何在ZMQ Dealer-Router模式下防止身份伪造？

攻击识别方法 #

• 公钥连接数超限检测：Router维护每个合法公钥的最大活跃连接数阈值（比如根据业务场景设定为1-3个），如果某个公钥的活跃连接数超过阈值，直接标记为可疑攻击。
• 异常行为分析：监控请求频率、内容和连接生命周期——比如短时间内大量无意义请求、连接建立后立即断开重连、请求不符合合法Dealer的业务逻辑，这些都是典型的攻击特征。
• 认证失败频率统计：统计同一公钥的身份认证失败次数，若短时间内超过设定阈值（比如5分钟内失败10次），直接判定为攻击行为。

核心防范措施 #

• 公钥-连接数绑定：完成公钥认证后，Router实时记录该公钥的当前连接数，超过预设上限则拒绝新连接，避免同一合法公钥被滥用建立大量恶意连接。
• 强化双向身份认证：不要仅在请求中携带公钥，改为连接建立时的双向认证流程：Router生成随机挑战串发给Dealer，Dealer用自身私钥签名后返回，Router用对应公钥验证签名，验证通过才允许后续通信。这样攻击者仅拿到公钥无法通过认证。
• 会话绑定机制：认证通过后为每个连接生成唯一会话ID，后续请求必须携带该ID，且会话ID与公钥、客户端IP绑定，防止公钥跨IP复用。
• 动态黑名单封禁：对识别出的攻击源（异常公钥或IP）加入黑名单，临时或永久拒绝其连接请求，阻断攻击的持续性。

IP校验的局限性 #

单独依赖IP校验无法从根本解决问题：

• 合法Dealer可能使用动态IP，或多个Dealer共享同一公网IP，封禁未知IP会误杀合法请求；
• 攻击者可通过代理、VPN切换IP，甚至伪造源IP（TCP层虽有难度但并非不可行），轻松绕过IP限制；
• 若要使用IP校验，只能作为辅助手段：给合法Dealer配置IP白名单，结合身份认证一起使用，不能单独依赖。

内容的提问来源于stack exchange，提问作者Panagiotis Drakatos