无需 ssl 的双向密码加密
我正在使用基本身份验证 Twitter API (不再可用)将 twitter 与我博客的评论系统集成.这个和许多其他 Web API 的问题是它们需要用户的用户名和密码才能做任何有用的事情.我不想处理安装 SSL 证书的麻烦和成本，但我也不希望密码以明文形式通过网络传递.
I am using the basic-auth twitter API (no longer available) to integrate twitter with my blog's commenting system. The problem with this and many other web APIs out there is that they require the user's username and password to do anything useful. I don't want to deal with the hassle and cost of installing a SSL certificate, but I also don't want passwords passed over the wire in clear text.
我想我的一般问题是:如何通过不安全的渠道发送敏感数据?
这是我目前的解决方案，我想知道其中是否有任何漏洞:
This is my current solution and I'd like to know if there are any holes in it:
- 在服务器上生成一个随机密钥(我使用的是 php).
- 将密钥保存在会话中，并将密钥输出到 javascript 变量中.
- 在提交表单时，使用 JavaScript 中的三重 DES 和密钥来加密密码.
- 在服务器上，使用会话中的密钥解密密码，然后销毁会话.
最终结果是只有加密的密码通过网络发送，并且密钥只使用一次，并且永远不会与密码一起发送.问题解决了吗?
The end result is that only the encrypted password is sent over the wire and the key is only used once and never sent with the password. Problem solved?
推荐答案
- 在服务器上生成一个随机密钥(我使用的是 php).
- 将密钥保存在会话中，并将密钥输出到 javascript 变量中.
- 在表单提交时，使用 JavaScript 中的 Triple DES 和密钥来加密密码.
这避免了通过网络以明文形式发送密码，但它要求您通过网络以明文形式发送密钥，这样任何人都可以窃听来解码密码.
This avoids sending the password in the clear over the wire, but it requires you to send the key in the clear over the wire, which would allow anyone eavesdropping to decode the password.
前面已经说过了，我再说一遍:不要试图编造自己的加密协议！已经为这种事情制定了既定的协议，这些协议已经被专业人士创建、同行评审、击败、黑客攻击、戳戳和刺激，使用它们！没有人能够做到想出比整个加密和安全社区一起工作更好的东西.
It's been said before and I'll say it again: don't try to make up your own cryptographic protocols! There are established protocols out there for this kind of thing that have been created, peer reviewed, beat on, hacked on, poked and prodded by professionals, use them! No one person is going to be able to come up with something better than the entire cryptographic and security community working together.
相关文章