Java认证安全

Question

我有一个应用程序的中央admin实例，其中创建了judge帐户。为了使用此法官帐户，另一台计算机上的应用程序的 judge 实例需要通过中央admin 进行身份验证。应用程序的用户实例将向管理员发送一些内容，管理员会将其推送给其中一位评委。

我的问题是如何验证法官的身份。如果我只是发送密码，它就可以被嗅探(因为所有这些实例都需要位于同一网络上)。

我不确定使用 SSL 是否有帮助，但即使有帮助，我也无法使用它(我对此无法控制)。

Answer 1

你可以在这里使用类似 pgp 的东西。所以你会使用一些公钥的东西。这将完全消除对密码的需要。

通过公钥加密，每个用户都有一个公钥和一个私钥。使用一个 key 加密的内容只能使用另一个 key 解密。这样你就可以分发公共(public)公钥。如果有人想向您发送某些内容，他可以使用您的公钥来加密该消息，并且只有您可以解密它。

因此发送到服务器的消息将使用用户的私钥进行加密。他发送消息和他的公钥。如果您知道该公钥，则可以在服务器端进行数据库查找。如果您可以使用该 key 解密该消息，您就知道该消息是由该用户发送的。

通过一些工作，您可能可以使用它来识别和验证用户。

当他们第一次与服务器对话时，您只需使用法官来为任何新用户及其公钥提供担保。这样您就可以创建一个信任网络。