网络请求中常见的加密机制和加密算法理解

分享 未结
1 1 1 10
PerkinsZhu 2018-09-28发布
收藏 点赞

请求安全性: 服务器端在接收到请求的时候,要主动鉴别该请求是否有效,是否可接受。

token:已登陆用户的识别码

解决的问题:用户调用接口时,不用每次都带上用户名和密码,避免了频繁在网络中传输密码被截获的风险。

使用场景:用户登录系统时传入用户名和密码,服务器校验成功之后,根据uuid等参数生成token返回给客户端,同时把该token和该用户的对应关系缓存在服务器端。客户端在后续的请求接口中不用每次都传入用户名和密码,只需要传入token即可。服务器会根据token确定客户端的身份。

注意:token可设置生效时间,token失效之后,客户端重新请求token。

sign:请求参数的签名

解决问题:避免请求参数被恶意修改。保证了请求数据的一致性。

使用场景:客户端和服务端约定一个签名生成算法。客户端在请求接口之前调用签名算法,根据参数生成sign值。然后把sign和请求参数一并传给服务器。

服务器收到到参数和签名之后,根据请求参数,调用签名算法计算出签名,然后比较该签名和客户端传过来的签名是否一致,如果一致,则说明请求参数未被修改过,如果不一致,则说明请求参数被修改过。

nonce:请求中附带的随机数

解决问题:防止恶意程序重复向服务器重复发送相同的请求。

使用场景:客服端在向服务器发出请求之前,随机生成nonce参数。服务器在接收到请求之后,取出nonce参数,然后去缓存中查找是否已存在nonce的值。如果存在,则说明该请求已经收到过,则 拒绝本次请求,如果不存在,则说明首次接收到该请求,正常进行处理。

timestamp:客服端发送请求的时间戳(timestamp一般和nonce组合使用)

解决的问题:防止服务器端缓存nonce数据量过大的问题。当服务器缓存的nonce较多时,每次查找nonce就会耗费大量时间。通过添加请求时间戳,判断请求时间到服务器接收到请求的时间差是否在有效处理时间内(例如5分钟),如果在5分钟之内则进行处理,如果超出五分钟则拒绝该请求。这样,服务器端在缓存nonce的时候,可以设置nonce的缓存时间为5分钟,超出5分钟之后,自动清除掉缓存中的nonce,这样就避免了缓存大量nonce的问题。

使用场景:客服端在发出请求时,附带timestamp,记录下当前的请求时间。服务器接收到请求时,取出timestamp,判断和当前的时间差,如果超出一定的时间(例如5分钟),则放弃该请求。如果在5分钟之内,则取出nonce,去缓存中查找nonce,如果已存在则拒绝掉,如果不存在则正常处理。

数据保密性: http请求的数据无论是GET还是POST都可能会被抓包获取到数据。为了避免用户的敏感数据被窃取,则需要对数据进行加密处理。

AES:对称加密算法

使用方式:客服端和服务器端共同确定一个用来加密和解密的秘钥。然后客服端在请求服务器是通过该秘钥对数据进行加密,服务器端在接收到请求之后使用该秘钥对数据进行解密。

优势:加密效率高

缺点:秘钥需要共享给客户端,具有泄露的风险

RSA:非对称加密算法

使用方式:服务器端生成公钥和私钥,把私钥发送给客户端。客服端在请求服务器是,通过公钥对数据进行加密。服务器端接收到请求之后,使用私钥对加密的数据进行解密。

优势:不需要共享私钥,避免了私钥泄露的风险。

劣势:加密效率低,数据量大是较为耗时

实际场景中,一般使用如下策略进行加密:

服务器端通过RSA生成公钥,然后把公钥给客户端。客服端在请求服务器前, 随机生成AES秘钥,然后用AES秘钥加密请求数据。之后用RSA公钥对AES秘钥进行加密,然后把加密之后的AES秘钥和加密后的请求数据一起发送给服务器。服务器收到请求之后,先用RSA私钥解密出AES秘钥,然后用AES秘钥对请求数据进行解密,获取请求数据。

 其他常见算法说明:

MD5:信息摘要算法,不是加密算法

加密算法需要能够解密出原始数据的。MD5是不可逆的,不存在解密的说法。MD5的目的是用来校验文件/数据是否和原始数据一致,是否被修改过。只要文件/数据被修改过,则计算出的MD5就不一致。SHA-1类似,可以从来文件校验和计算数字签名。

应用场景:作为计算sign签名的算法,校验数据的一致性

Base64:编码规范,不是加密算法

其存在的目的是为了解决部分网络传输不支持不可见字符的问题。通过Base64编码把数据流转化为可打印显示的字符,之后通过网络进行传输。既然是编码,那么就可以被解码还原的。其类似于URL编码,为了把一些特殊字符转化为安全字符。

应用场景:RSA的公钥为byte数组,在传给客户端的时候 ,就可以通过Base64编码把byte数组转换为字符串,然后传给客户端。

回帖