Сайт, «видимый» только для своих

Если у вас базовая авторизация и https, то не знаю, от чего вы хотите страховаться. А так делайте доступ через VPN.

Для этого на внешний сайт приложение шлёт простую телеметрию и забирает от туда инструкции.

Port Knocking не вариант? Приложение дергает пару tcp портов, ip добавляется в разреженный address list, отправляет-получает данный, дергает еще 1 tcp порт и ip удаляется из разрешенных. Инструкций в интернете навалом.

чтоб настроить port knocking нужно быть админом сервера? Сервер у буржуев.

обычный http

Переставлю на https и хватит, раз такое дело.
Всем cпасибо

ЕМНИП, в апаче можно было настроить аутентификацию по сертификатам

Делайте авторизацию по клиентским сертификатам. Для Апача - http://www.r-notes.ru/administrirovanie/sluzhby/113-avtorizatsiya-po-ssl-sert...

Сайт, «видимый» только для своих

Есть решение,

1 простое

2 надежность соответствует классу «Счастье Параноика» и спецификации «немедекаментозный узбагоин»

.i2p

.onion

Port Knocking не вариант?

Port Knocking в качестве базового средства защиты можно использовать только объевшись грибов. Ибо это тоже самое, что передавать пароль в открытом виде.

Я думаю даже авторизации не надо. Просто никто не найдет сайт пока владелец не захочет. На сколько представляю ситуацию. Но если ОП хочет РЕАЛЬНФХ гарантий, чтобы разве что Аллах мог взломать, то пусть еще авторизацию навесит.

Я думаю даже авторизации не надо. Просто никто не найдет сайт пока владелец не захочет.

Ты себе представляешь сколько человек непрерывно сканят в сети? У меня в среднем на сетевом экране за день по ~2 тысячи уникальных IP в дропнутых.

Ну хорошо что просветил. Я не в курсах сколько людей сканят чего. Мне чего-то вообще кажется мутной перспектива сканить адреса i2p, которые, кажется, являются о-о-очень длинными хешами чего-то там. Даже если порт открыт, на сколько я представляю, если к нему ломятся вне прототоколов айтупа, того же, например, то как там чего выкусят? Очень немного отломится, я думаю.

А, это в рамках i2p/onion было. Тогда да, маловероятно.

Но я бы все равно предпочел закрыть нормально.

Я исхожу из того что в скрытосетях большая проблема найти сайт даже если знаешь его название. — Уповай на то что он зарегистрирован в jump-сервисах. Чего уж говорить если названия у него нет а есть этот хеш только?

Ну обижаешь. Куда уж нормальней? Нормально это когда полностью соответствует цели. У человека цель — СКРЫТЬ сайт. Тоесть не допустить даже прозвона на уязвимости. Мне кажется решение полностью соответствует задаче.

Вестимо ты прав. Надо будет полистать схемы протоколов на тему того, насколько сложно обнаружить скрыторесурс в tor/i2p.

Я лично уверен что это не реально. Обнаружить ноды айтупа - можно, и легко. Ойпи публикуются как и в торентах. Но что там крутится, кому кто что отправляет, ресурс там или реле, потребитель он или транзитер, — не угадаешь. Подсказывает то, что именно за этим оно и создавалось: я думаю реализация должна отвечать назначению, ребята врядли подвели, раз уж народ этим пользуется. Что касается тора, не интересовался совсем его сутью.