security - 我是否在 API 中发现了安全问题，或者我只是不了解 SSL？

Question

我正在围绕供应商提供的基于 XML 的 API 构建一组 Python 绑定(bind)。供应商要求所有交易都通过 SSL 进行。使用 Linux 机器，我为我的应用程序创建了一个 key 文件和一个 CSR。使用他们的自助服务 Web 门户，然后我使用该 CSR 生成证书。向 API 发出 SSL 请求时会同时使用 key 文件和证书。

我现在正致力于设计异常类以使错误消息更加详细(并且希望对使用我的绑定(bind)的开发人员更有用)。我的部分测试包括更改 key 文件:在这里调换几个字符，在那里用随机字符替换 4 或 5，等等。令我惊讶的是，更改 key 文件没有任何效果!只要我不改变它的总长度，API 就不会提示 key 文件错误。我能够抛出错误的唯一方法是换入与另一个应用程序完全不同的 key 。那时，API 提示公用名不匹配。

这是正常行为还是供应商未正确实现 SSL？

Answer 1

一些私钥格式是多余的，可以在不破坏 key Material 的情况下进行更改。事实上，您提供的信息不足以做出任何假设。至少了解一些关于私钥保存格式的知识会很方便。

事实上，使用损坏或错误 key 的身份验证不会通过。用错误的私钥进行身份验证在数学上是不可能的(假设协议(protocol)的服务器端部分工作正常)。