javascript - 具有客户端加密的 Web 应用程序

Question

我正在开发一个 Web 应用程序，它将在客户端加密数据，然后将数据发送到服务器。服务器将存储加密数据，但没有解密数据的能力。关键是要保证客户端数据的安全，这样即使是服务器主机也无法访问数据。这可以通过服务器仅接收加密数据而从不接收 key 这一事实来保证。

我打算在客户端使用Javascript进行加密和解密。此外，连接将通过 SSL 进行保护。

我在这里阅读了这篇文章:http://www.matasano.com/articles/javascript-cryptography/这表明不应将 Javascript 用于加密，但它没有解决我的用例。

这是一个安全的解决方案吗？有什么方法可以让它更安全吗？

Answer 1

看看 Host-Proof Hosting模式(从 2005 年 7 月开始)。

In A Blink Sketch:

Locked inside data cloud, key at browser.

Solution

Host sensitive data in encrypted form, so that clients can only access and manipulate it by providing a pass-phrase which is never transmitted to the server. The server is limited to persisting and retrieving whatever encrypted data the browser sends it, and never actually accesses the sensitive data in its plain form. It. All encryption and decryption takes place inside the browser itself.

关键点是您仍然需要使用 TLS/SSL，并且完全信任将 HTML 作为 JavaScript 资源提供服务的主机。

此外，Web-browser encryption of personal health information有一个类似于您正在寻找的解决方案。