ssl - 证书颁发机构与存储的公钥

Question

我正在开发一个 J2ME 应用程序，它可以安全地连接到服务器进行登录。我在设置两者之间的 SSL 时遇到了很多困难，所以我想到了一个更简单的解决方案，我希望您能就此发表您的意见。

J2ME Midlet 附带服务器的公钥，在连接时使用该公钥加密消息(用户名、密码哈希和随机数)并发送到服务器。然后服务器对其进行解密并使用它来对客户端进行身份验证。

证书颁发机构的主要思想是说谁是谁，如果双方已经知道并且同意它不会改变(除非通过已经验证的连接)，那么我是否绕过了对一个？

谢谢，弗拉基米尔

Answer 1

if the two parties know that already and agree that it won't change ... then don't I bypass the need for one?

是的，但我认为您没有捕获重点。该程序附带 key ，但用户无法知道他们正在下载的程序实际上来自您，而不是某些恶意黑客拦截/重写通信；用户看到的只是墙上的电线发出的比特。

通常您接下来要做的是用您的 key 对 jar 进行签名，然后将 key 与您的程序一起发送。现在我们遇到了先有鸡还是先有蛋的问题:他们如何知道 key 来自您？

这是证书颁发机构发挥作用的地方； CA 的 key 已经在他们的计算机上，因此他们将其留给 CA 来验证您的身份并签署您的公钥。然后当用户获得公钥，验证它是由 CA 签名，并验证 jar 是由 key 签名时，他们知道 key 是你的，因此 jar 一定来自你，因为你是唯一可以用私钥签名的人。

现在，如果您的 key 提前在他们的计算机上(例如，在公司内部， key 在设置时物理放置在计算机上)，他们是的，您绝对不需要对 key 进行签名。