php - 非对称和对称 key 存储

Question

我正在开发一个 ajax 门户，我需要一些建议。我的客户希望它相当安全但不想处理 ssl。没有要存储的超敏感数据，因此我在页面初始化时执行自定义“握手”。

由于每次 session 我都会处理 2 组新的非对称 key 和一些对称 key ，我想知道您将如何处理这些 key 。这可能会驻留在共享主机上，我到处都读到在这种情况下 session 文件不能真正被信任......

现在我正在 session 文件中存储一些信息，指向数据库中的正确 key 。一切正常(好吧，我认为 :))...现在我想在用户 session 结束时从数据库中删除 key ，这样我就不会得到充满无用 key 的表。

即使我知道这是不好的，但我在关闭窗口/浏览器时尝试了一个 ajax 调用……这确实是不好的并且不一致，所以这个选项不可行。我还考虑过一个 cron 作业来删除约会超过几天的每个 key ，但对我来说感觉有点“未完成”...

我的问题是:我想知道 ssl 如何处理它的 key ？当用户 session 持续时，它们存储在哪里？你会如何处理/将如何处理？

编辑

是的，我早该知道这个问题会导致那样。

我知道 ssl 是最好的选择，但我很遗憾我编写了我的应用程序。我会再和我的客户谈谈这件事，但我希望不大。如果他仍然想访问 http，我不会冒着失去契约(Contract)的风险来证明我的观点，而且我会有一个替代方案来保护其不敏感的数据(登录信息有点，没有信用卡...)。

是的，“相当安全”是合适的，因为没有系统是完全安全的。 “相当安全”是指刚刚下载了 wireshark 或在 youtube 上观看视频进行中间人攻击的想成为黑客的人将无法进入。我会说它已经比所有的要好得多了最近被一些青少年羞辱的数十亿游戏公司。

正确答案归于 Nasko，他回答了我的部分问题并提出了一些明显的建议，但并不自大。

Answer 1

“安全”是一种二进制状态。没有所谓的“相当”安全。

您希望实现像 SSL 这样便宜又有效的东西的希望几乎为零。不要打扰。除非客户是美国国防部，否则他无论如何都负担不起。