Tengo un problema en lo que a seguridad respecta en modelos cliente-servidor.
Imaginemos el siguiente escenario (cliente-servidor).
Una aplicación cliente (WinForms) quiere comunicarse con un servidor (Peticiones Http (GET o POST) en PHP, Sockets o WebSockets en C#).
El primer problema que surge es que tanto si el servidor (esté escrito en PHP o en C#) debe tener algún tipo de control para las peticiones anónimas que el cliente genere, para ello, tendremos que usar algún tipo de token generado por el servidor para cada petición.
El problema no está en la seguridad que se le otorgue a dicha token (tengo pensado en usar HTTPS (PHP) o SSL/TLS + Certificados en WebSockets (C#) para las comunicaciones cliente-servidor a nivel de red, para evitar Spoofing o MiTM.
El problema está a la hora de otorgar la token. Ya que sería muy fácil otorgar a cualquier cliente una token por parte del servidor. (Pequeña aclaración: ya que sería fácil coger y replicar un cliente que haga peticiones al servidor para intentar obtener tokens validas, al menos, como yo tengo pensado implementarlo, de ahí a que necesite ayuda)
En lo que estaba pensando, es generar un resumen md5 o sha para la assembly del cliente, y así si cualquier persona intenta replicar dichos pasos, lo tendrá dificil, ya que modificar el source code de la assembly o hacer una assembly maliciosa y obtener el mismo hash por colisión es dificil.
Lo que no sé es como de eficiente sería este sistema, por ello necesito que me guíen un poco en este aspecto.
He estado mirando OAuth, y creo que este tipo de implementación no es la que busco, ya que este tipo de implementaciones es a nivel de usuario (para que otro usuario no vulnere los datos de x usuario), no de cliente (aplicación) como tal.
Así que si alguien puede arrojar algo de luz en este asunto sería de gran ayuda.