security - 使用 channel 加密 (https) 是否会使 key 散列变得多余？

Question

我正在设计一个 Web 服务，客户端连接该服务以检索一些私有(private)数据。每个客户端都有一个唯一的 ID 和一个 key (由服务器生成)，它们作为参数发送到 Web 服务，以便对其进行身份验证。此外，所有通信都是通过 HTTPS 完成的。

我还计划使用 HMAC-SHA256，以避免通过线路发送 key 。

但是，我想知道这是否是绝对必要的。既然 HTTPS 为我提供了客户端和服务器之间的安全通道，为什么我真的介意通过该 channel 发送 key ？

我设法想出的唯一原因是，不知情的开发人员可能会在将来添加服务并且不会拒绝非 HTTPS 连接，因此散列 key 是针对企业软件开发现实的一种保险，如果你愿意的话，可以多加一道防线。

我是否遗漏了一些更重要的东西？这是某些攻击媒介可以利用的真正漏洞吗？

Answer 1

• 攻击者在浏览器中安装虚假的受信任证书并劫持 session 。
• 已发送指向您网站的链接，但到 SSL 的重定向被拦截，并且非 SSL session 开始。

还有其他的，但故事是这样的:SSL 很复杂，并且经常以创造性的方式受到攻击。如果您的连接是安全的，那么与人类代码的复杂性和 CPU 时间成本相比，散列几乎没有值(value)。但是，如果 SSL session 遭到破坏，您仍然保存了 key 。就像我们在数据库中散列密码一样，尽管事实上任何不受欢迎的人都不应有权访问，但在 SSL 的情况下对您的 key 进行散列也是明智的做法。