security - 如何提高客户端-服务器系统的安全性？

Question

我构建了一个客户端-服务器系统，客户端登录后可以通过服务器与其他客户端进行安全通信。

这是我的系统的属性:

-客户端-服务器通信是 SSL 加密的

-客户端登录详细信息以哈希值的形式安全地存储在本地存储在服务器上的数据库中

-登录时，每个客户端都会发送一个 session 公钥存储在服务器上，其他客户端使用它来加密对称 key 。对称 key 用于后期消息加密，防止服务器窃听

-在聊天发起时，指纹用户身份验证用于确保用户是他/她假装的人。这通常是通过电话读取指纹来完成的，指纹是两个公钥的 SHA256 哈希值，分为两部分并为方便起见进行了异或运算。

-MAC 随每条消息一起发送

您有什么改进建议？我的服务器可能遭受哪些攻击？

谢谢

Answer 1

看起来您仍然可能会受到特洛伊木马客户端应用程序的影响，但您真正需要做的是从各种安全技术中退后一步。所有这些安全保护什么？谁愿意打破它？如果他们能打破它，他们会怎么做？这些问题的答案将帮助您确定系统可能如何受到攻击，并提出有用的对策。