个人中心
文章发布
退出
作者热门文章
- android - 多次调用 OnPrimaryClipChangedListener
- android - 无法更新 RecyclerView 中的 TextView 字段
- android.database.CursorIndexOutOfBoundsException : Index 0 requested, 光标大小为 0
- android - 使用 AppCompat 时，我们是否需要明确指定其 UI 组件(Spinner、EditText)颜色
25
4
创建任何类型的应用程序 web、api 等时；如今，最佳实践建议使用 TLS 来保护端点，但我们可以从 cloudbleed 中学到什么问题是它可能还不够。
因此，我想知道即使在 TLS 遭到破坏的情况下，也可以采取什么措施来保持一定程度的安全性。
对于 Web 应用程序，我目前使用的是 jsencrypt ，基本上在发送之前加密客户端浏览器端的所有数据，但为了做到这一点，我首先需要在服务器和客户端之间交换共享 secret ( token /cookie)，但是在处理不支持 javascript 的 API 时有什么用？
关于 token 交换，凭直觉说使用 OAUTH 可能是显而易见的，OpenID Connect , json tokens ，但它们都需要或将信任委托(delegate)给 TLS，当它被破坏时，它又变得毫无用处。
如果我是对的，可以在没有 SSL 的情况下使用 OpenID 通过执行 Diffie–Hellman key exchange 来共享“公共(public) secret ” ，是否有类似的东西可以实现，请记住，如果 TLS 受到损害，可以采取简单的措施，如撤销 token 或更改“salts”？
目前我认为遵循 gpg 或 rsa(私钥/公钥) key 是可行的方法，这样可能每个人都可以访问公钥但无法查看某些数据的内容签署给特定用户。
但问题仍然在于如何在客户端和服务器之间交换第一个“已知 secret ”以避免可能的 man in the middle attack考虑到 TLS 不可信。
最佳答案
交换第一个“已知 secret ”的问题对于所有协议(protocol)都是一样的，无论是否使用 SSL。 SSL是一种公钥基础设施，其中需要分发的基本信息是证书颁发者的根证书的公钥。所有 ssl 证书颁发者的公钥随浏览器安装一起分发。
任何协议(protocol)都将依赖于服务器和客户端之间在与建立通信的 channel 不同的 channel 中通信的某些信息。如果您不信任 SSL 基础设施，您将不得不通过电子邮件、邮政信件、短信或其他方式发送此信息。
但是，您的问题并非始于您在 Web 应用程序中使用的加密库所需的 key 。您的 Web 应用程序(javascript 文件)也通过 SSL 从服务器发送到 Web 浏览器。如果您的 SSL 通信被中间人破坏，这个中间人也可能能够更改您发送到浏览器的网页和 javascript 代码。他可以重写您的应用程序并删除所有加密代码、为用户添加新字段和消息、将用户发送到其他站点等等。
SSL 基础设施确实是网络安全的基石，也是网络应用程序的必需品。没有它，您将不得不构建一个用于发送加密网页的自定义协议(protocol)，并编写一个能够理解该协议(protocol)的自定义浏览器。
综上所述，当然可以在 SSL 之上添加一小层额外的安全性。例如，您可以为每个用户创建一个私钥/公钥对，将公钥发送给用户，并使用私钥加密从您的服务器发送给用户的所有消息。这可以防止中间人能够听到通信但无法更改您的消息的情况。
关于security - 在不使用 SSL/TLS 的情况下交换数据的方法有哪些，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/42465737/
25
4
0
我想了解 Ruby 方法 methods() 是如何工作的。 我尝试使用“ruby 方法”在 Google 上搜索，但这不是我需要的。 我也看过 ruby-doc.org，但我没有找到这种方法。
Test 方法 对指定的字符串执行一个正则表达式搜索，并返回一个 Boolean 值指示是否找到匹配的模式。 object.Test(string) 参数 object 必选项。总是一个
Replace 方法 替换在正则表达式查找中找到的文本。 object.Replace(string1, string2) 参数 object 必选项。总是一个 RegExp 对象的名称。
Raise 方法 生成运行时错误 object.Raise(number, source, description, helpfile, helpcontext) 参数 object 应为
Execute 方法 对指定的字符串执行正则表达式搜索。 object.Execute(string) 参数 object 必选项。总是一个 RegExp 对象的名称。 string
Clear 方法 清除 Err 对象的所有属性设置。 object.Clear object 应为 Err 对象的名称。 说明 在错误处理后，使用 Clear 显式地清除 Err 对象。此
CopyFile 方法 将一个或多个文件从某位置复制到另一位置。 object.CopyFile source, destination[, overwrite] 参数 object 必选
Copy 方法 将指定的文件或文件夹从某位置复制到另一位置。 object.Copy destination[, overwrite] 参数 object 必选项。应为 File 或 F
Close 方法 关闭打开的 TextStream 文件。 object.Close object 应为 TextStream 对象的名称。 说明 下面例子举例说明如何使用 Close 方
BuildPath 方法 向现有路径后添加名称。 object.BuildPath(path, name) 参数 object 必选项。应为 FileSystemObject 对象的名称
GetFolder 方法 返回与指定的路径中某文件夹相应的 Folder 对象。 object.GetFolder(folderspec) 参数 object 必选项。应为 FileSy
GetFileName 方法 返回指定路径（不是指定驱动器路径部分）的最后一个文件或文件夹。 object.GetFileName(pathspec) 参数 object 必选项。应为
GetFile 方法 返回与指定路径中某文件相应的 File 对象。 object.GetFile(filespec) 参数 object 必选项。应为 FileSystemObject
GetExtensionName 方法 返回字符串，该字符串包含路径最后一个组成部分的扩展名。 object.GetExtensionName(path) 参数 object 必选项。应
GetDriveName 方法 返回包含指定路径中驱动器名的字符串。 object.GetDriveName(path) 参数 object 必选项。应为 FileSystemObjec
GetDrive 方法 返回与指定的路径中驱动器相对应的 Drive 对象。 object.GetDrive drivespec 参数 object 必选项。应为 FileSystemO
GetBaseName 方法 返回字符串，其中包含文件的基本名 (不带扩展名), 或者提供的路径说明中的文件夹。 object.GetBaseName(path) 参数 object 必
GetAbsolutePathName 方法 从提供的指定路径中返回完整且含义明确的路径。 object.GetAbsolutePathName(pathspec) 参数 object
FolderExists 方法 如果指定的文件夹存在，则返回 True；否则返回 False。 object.FolderExists(folderspec) 参数 object 必选项
FileExists 方法 如果指定的文件存在返回 True；否则返回 False。 object.FileExists(filespec) 参数 object 必选项。应为 FileS
我是一名优秀的程序员,十分优秀！