Java SSL 安全

Question

我有一个在每个连接上都使用 SSL 的客户端-服务器模型。我已经使用 Java 和公共(public)库对此进行编程。我有两个关于 SSL 安全的问题:

1) 从客户端向服务器发送明文密码是否安全？ 服务器使用 BCrypt 对密码进行哈希处理并存储。我考虑过发送密码的未加盐哈希值或密码的声明哈希值，但它们真的比以明文形式发送密码更安全吗？我对此表示怀疑。我不认为将密码作为盐渍散列发送是一个可行的选择，因为盐需要存储在客户端的某个地方或通过网络发送，因此我认为它不会使其本质上更安全以明文形式发送密码。由于 SSL 的存在，其他人应该无法读取它，对吧？

2) SSL 上的加密数据是否总是被加密为不同的字符串，如果是这样，您是否可以使用特定字符串的早期加密来稍后获得相同的结果？澄清:

• 如果您现在加密数据，几秒钟后，它会产生相同的密文吗？
• 如果使用加密“test”的密文，是否可以稍后发送相同的密文让服务器相信客户端合法发送“test”？

在任何情况下都应该假设我不想从我自己(客户端或服务器)的角度来处理这个问题，但我想从黑客/骗子的角度来处理这个问题。

问候。

Answer 1

我换个方式回答这个问题。 SSL 具有保密性、完整性和身份验证。

1. 隐私:没有人可以读取流量。
2. 完整性:任何人都无法在不被发现的情况下修改、注入(inject)、重放或截断流量。
3. 身份验证:至少一个对等点已可靠地向另一个对等点进行了身份验证。

(1) 处理您的第一个问题。(2) 处理你的第二个问题。