服务端通信安全攻防

小灰灰 2020-05-02 16:12 818阅读 0赞

# 服务端通信安全攻防

服务端接口通信过程中，一般是明文传输的，没有经过任何安全处理。那么这个时候就很容易在传输过程中被中间者窃听、篡改、冒充等风险。因此，对于敏感信息，以及重要文件就需要进行加密策略，保证通信的安全性。

## Base64 加密传输

Base64 是网络上最常见的用于传输 8Bit 字节代码的编码方式之一，但是它其实并不是一种用于安全领域的加密解密算法。

但是，Base64 编码的数据并不会被人用肉眼所直观的理解，所以也有人使用 Base64 来进行加密解密，这里所说的加密与解密实际是指编码和解码的过程。

这种，加密传输的安全性是非常低的，Base64 加密非常容易被人识别并解码。

## DES 对称加密

DES 也是一种非常常用的加密方案，我们会将敏感的信息在通信过程中通过DES进行加密传输，然后在客户端和服务端直接进行解码。

此时，作为读者的你，可能会有个疑问，那如何保管密钥呢？其实，想想，答案就复出水面了，因为客户端和服务端都需要进行解码，所以两者都要存一份密钥。其实，还有一种方案是通过服务端下发，但是下发的时候通信的安全性也是没有很好的保障。

所以，DES 对称加密也是存在一定的安全隐患：密钥可能会泄漏。这边，举个真实的案例，某个 APP 的资源不错，同事想抓包分析下其服务端通信的信息结构，但是发现它既然全部采用了 DES 加密方案，本来想放弃了，但是我们又回头想想客户端肯定需要密钥对接口的加密的内容做解码才能正常展现，那么密钥肯定在 APP 包中，因此我们又对 APP 进行了反编译，结果成功的获取到了密钥，对服务端通信的加密信息进行了解码。

## AES 对称加密

AES 和 DES 类似，相较于 DES 算法而言，AES 算法有着更高的速度和资源使用效率，安全级别也较之更高。一般情况下，用于文件的加密。我们之前做个不准确测试，AES 和 DES 分别对一个大文件加密，AES 的速度大概是 DES 的 5 倍。（因为基于工具和环境问题，这个数据不是很准确哟）。

仍然存在一个相同的问题：密钥可能会泄漏。因此，保管好密钥很关键。

## 升级到 HTTPS

HTTPS 的价值在于：

- 内容加密，第三方无法窃听。
- 身份认证，一旦被篡改，通信双方会立刻发现。
- 数据完整性。防止内容冒充或者篡改。

这个方案，没法保护敏感数据，如果需要对敏感数据进行加密，还是需要考虑加密方案。

## URL 签名

基于 OAuth2 协议，进行 URL 签名。这个方案，有很多话题可以分享，后面另开一篇来详细讲解。

值得注意的是，URL 签名只能垂直权限管理，但没法保护敏感数据，如果需要对敏感数据进行保护，还是需要考虑加密方案。

## 双向 RSA 加密

RSA 双向认证，就是用对方的公钥加密是为了保密，这个只有对方用私钥能解密。用自己的私钥加密是为了防抵赖，能用我的公钥解开，说明这是我发来的。

例如，支付宝的支付接口就是非常典型的 RSA 双向认证的安全方案。此外，我们之前的教育资源、敏感验证码出于安全性考虑都借鉴了这个方案。

发表评论取消回复

表情：

评论列表（有 0 条评论，818人围观）

还没有评论，来说两句吧...

相关阅读

相关 C语言 TCP通信服务端

C语言中的TCP通信服务端的实现步骤如下: 1. 创建套接字并绑定到一个本地地址和端口上。 2. 开始监听连接请求。 3. 接受客户端的连接请求并创建一个新的套接字来与

Myth丶恋晨/ 2024年03月25日 17:38/ 0 赞/ 62 阅读

相关 websocket实现客户端-服务端通信

实现websocket有三种方式使用Java提供的@ServerEndpoint注解实现使用Spring提供的低层级WebSocket API实现使用

迈不过友情╰/ 2023年10月04日 19:49/ 0 赞/ 77 阅读

相关 sockjs实现客户端和服务端通信

[springboot+websocket+sockjs进行消息推送【基于STOMP协议】 - 博客 - 编程圈 (bianchengquan.com)][springboot

心已赠人/ 2023年10月01日 19:27/ 0 赞/ 43 阅读

相关 netty-3.客户端与服务端通信

(原) 第三篇，客户端与服务端通信以下例子逻辑：如果客户端连上服务端，服务端控制台就显示，XXX个客户端地址连接上线。第一个客户端连接成功后，客户端控制台

谁践踏了优雅/ 2023年06月04日 06:55/ 0 赞/ 69 阅读

相关安全攻防技能38讲

![在这里插入图片描述][resize_m_lfit_w_962_pic_center] 安全攻防技能30讲 · 课程目录 ▌开篇词 (1讲) 开篇词 | [别说

桃扇骨/ 2022年11月27日 07:19/ 0 赞/ 209 阅读

相关 android 与服务端通信,Android客户端与服务器端通信Demo

【实例简介】 Android客户端与服务器端通信的基本Demo，服务器端部署在MyEclipse上。【实例截图】【核心代码】 Android客户端与服务器端通信

Myth丶恋晨/ 2022年10月05日 04:58/ 0 赞/ 312 阅读

相关 $.post()与服务端简单通信

当首页index.js加载完毕的时候，ajax向服务端发送一个请求，服务端就收到请求作出响应。前端页面$.post(url,param,fn,type) <he

怼烎@/ 2022年06月01日 03:49/ 0 赞/ 247 阅读

相关应用安全-浏览器安全-攻防

应用安全-浏览器安全-Chrome浏览器关闭安全模式暂时关闭 Linux: google-chrome --disable-web-securit

ゝ一世哀愁。/ 2021年10月18日 19:48/ 0 赞/ 550 阅读

相关 Netty实现客户端与服务端通信

实现一个客户端与服务端通信的程序，可以使用socket网络编程来实现，而Netty作为一个封装了JDK的NIO通讯的异步事件驱动的网络应用框架，也同样可以实现。 1.创建M

朱雀/ 2021年06月22日 15:36/ 0 赞/ 660 阅读

相关服务端通信安全攻防

服务端接口通信过程中，一般是明文传输的，没有经过任何安全处理。那么这个时候就很容易在传输过程中被中间者窃听、篡改、冒充等风险。因此，对于敏感信息，以及重要文件就需要进行加...

小灰灰/ 2020年05月02日 16:12/ 0 赞/ 819 阅读