在日常的接口交互中数据的安全性是优先考虑的问题之一。那么一般我们在实际工作中如何去保证数据的安全呢一般是通过数据加密的方式来处理。加密算法如果按是否可以把密文还原成明文来划分的话可以分为可逆加密和不可逆加密。一、基础概念1、密钥密钥是一段二进制的字符串其度量单位是位(bit)。对于密钥长度为256的话就是指32个字节长度的密钥。2、身份验证在非对称加密模式下使用私钥进行加密对方用公钥进行解密接收方如果能把信息成功解密出来即可确定信息的来源方是私钥拥有者达到身份验证的效果。3、信息的完整性信息完整性是指接收方收到的信息没有被篡改过。二、可逆加密在可逆加密分为对称加密和非对称加密两大类。对称加密是指加密和解密的密钥是同一个密钥而非对称加密则需要使用两把不同的密钥进行。1、对称加密如上图用户A通过对称加密算法对要传输的消息的明文plain text进行加密encrypt得到密文cihger text。用户B得到密文信息后用同一把密钥对密文进行解密encrypt操作当然也需要用同一种加密算法最后得到消息的明文。常见的对称加密算法主要有AES其密钥长度128192256这几种是最常见的。2、非对称加密如图非对称加密和解密是需要使用两个不同的密钥其中公钥是可以提供给通信方我们自己保管好私钥。非对称加密方式用公钥加密的话得用私钥来解密反之亦然。在正式场景中一般是有两套密钥一套是接入方密钥一套是平台方密钥。在进行对接的时候双方会把自己的的公钥通过邮件等正式方式发给对方并商议确定加密规则包括使用的加密算法、公私钥的使用规则等一般都是平台方制定常用的非对称加密算法是RSA。3、混合加密优点缺点对称加密运算速度快密钥被窃取后消息会被破解非对称加密采用私钥自行保管、公钥任意分发的模式黑客只要没有私钥就无法破解整个加密流程运算速度慢满足不了时效要求高的业务场景可见对称和非对称加密各有优缺点我们把它们混合使用来进行加密则可以更好地发挥效果。1、首先使用非对称加密的方式把密钥传给对方对称加密被破解的关键是黑客拿到拿到密钥所以我们可以通过非对称加密方式把密钥加密然后对方拿到后解密即可。2、使用对称加密方式进行后续信息交互。三、如何确保信息的完整性实现信息完整性的手段一般是应用摘要算法也叫散列函数或者哈希函数。它主要是通过任意长度的字符串通过hash函数变成固定长度的字符串。这个固定长度的字符串也被称为数字指纹或者摘要。1、摘要算法的四大特点1不可逆不需密钥只需使用算法即可加密但是密文不能被解密。可用于加密用户密码在存储在数据库中。2难题友好性破解手段只能是暴力枚举需要消耗大量的算力。3发散性明文进行非常小的改动得到的摘要就会发生剧烈的变化抖动。4抗碰撞性摘要算法会把不同长度的字符串变成相同长度的摘要如果这些发生重复那么就成为发生了碰撞。好的算法要求尽可能避免碰撞。在常见的摘要算法中MD5、SHA1不具备很强的抗碰撞性因此目前主流使用SHA2包括SHA224、SHA256、SHA384)算法。2、实际应用流程虽然摘要具有不可逆性但是应对黑客拦截请求、替换原文内容并生成新的摘要这种情况接收方是无法感知的。那么解决这个问题可以对摘要进行加密传送。整个流程主要围绕对摘要进行加密成数字签名然后附在原文后面一起传送给接收方。接收方收到请求后把签名通过发送方的公钥进行解密得到摘要信息并与按原文生成的摘要进行比对如果一致则说明请求没被篡改过。3、进阶数字证书及https应用数字签名对机密性普通程度的信息来说已经基本够用了但是对于安全性很高的信息传播来说还是会有一定问题的。比如接收方得到的发送方的公钥有可能是给人恶意替换了的。比如拿到的公钥被黑客替换了成自己的公钥。那么黑客就可以根据上述数字签名的方式发送自己的请求来欺骗接收方的数据。那么这时候就可以用数字证书来解决。数字证书就是让权威的CA机构为证书所有者的公钥进行背书。其使用可以理解为在数字签名的基础上加一层CA的签名验证。正规的CA其公钥都会保存到操作系统里面方便使用。如果证书由不正规的CA发布那么在验证的过程中会得到警告。3.1、数字证书Digital Certificate的申请机构A向CA提交数字证书申请要提交自己的公钥给CA。CA创建数字证书信息并通过摘要算法把证书原文生成摘要并利用自己的私钥对摘要进行加密得到数字签名。然后把签名放到数字证书里面最后生成机构A的数字证书。数字证书的生成流程类似数字签名生成的证书就可以发送给机构A来使用了。3.2、数字证书的使用当机构A得到数字证书后就可以把数字证书和原文一起放到请求数据里面然后发送数据。接收方接收到数据后会进行以下几步操作1)验证CA的数字签名首先从数据中取出CA的数字签名并用CA的公钥对其进行解密得到摘要信息然后把请求原文数据按摘要算法生成摘要信息最后对比两个摘要的一致性如果一致则说明请求是可信任的并从证书中拿出机构A的公钥2)验证机构A的数字签名首先利用上一步里面得到的机构A的公钥对其进行解密得到摘要信息然后把请求原文数据按摘要算法生成摘要信息最后对比两个摘要的一致性如果一致则说明请求是可信任的3读取原文信息并使用3.3、数字证书的一个典型的应用场景-https协议https协议就是数字证书的一个使用场景。是以安全为目标的 HTTP 通道在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。其关键点在于浏览器向https网站发送加密请求并得到证书然后通过验证后提取网站的公钥接下来就可以与服务器交换加密信息了。四、总结在通讯过程中保持数据的机密性和完整性是非常重要的。数据机密性可以靠可逆加密算法了完成考虑到对效率和安全的平衡一般建议使用对称加密和非对称加密进行混合使用。在传说过程中请求数据有可能给黑客进行拦截和篡改破坏数据的完整性。常见的处理手段是使用数字签名和数字证书。
在日常的接口交互中数据的安全性是优先考虑的问题之一。那么一般我们在实际工作中如何去保证数据的安全呢一般是通过数据加密的方式来处理。加密算法如果按是否可以把密文还原成明文来划分的话可以分为可逆加密和不可逆加密。一、基础概念1、密钥密钥是一段二进制的字符串其度量单位是位(bit)。对于密钥长度为256的话就是指32个字节长度的密钥。2、身份验证在非对称加密模式下使用私钥进行加密对方用公钥进行解密接收方如果能把信息成功解密出来即可确定信息的来源方是私钥拥有者达到身份验证的效果。3、信息的完整性信息完整性是指接收方收到的信息没有被篡改过。二、可逆加密在可逆加密分为对称加密和非对称加密两大类。对称加密是指加密和解密的密钥是同一个密钥而非对称加密则需要使用两把不同的密钥进行。1、对称加密如上图用户A通过对称加密算法对要传输的消息的明文plain text进行加密encrypt得到密文cihger text。用户B得到密文信息后用同一把密钥对密文进行解密encrypt操作当然也需要用同一种加密算法最后得到消息的明文。常见的对称加密算法主要有AES其密钥长度128192256这几种是最常见的。2、非对称加密如图非对称加密和解密是需要使用两个不同的密钥其中公钥是可以提供给通信方我们自己保管好私钥。非对称加密方式用公钥加密的话得用私钥来解密反之亦然。在正式场景中一般是有两套密钥一套是接入方密钥一套是平台方密钥。在进行对接的时候双方会把自己的的公钥通过邮件等正式方式发给对方并商议确定加密规则包括使用的加密算法、公私钥的使用规则等一般都是平台方制定常用的非对称加密算法是RSA。3、混合加密优点缺点对称加密运算速度快密钥被窃取后消息会被破解非对称加密采用私钥自行保管、公钥任意分发的模式黑客只要没有私钥就无法破解整个加密流程运算速度慢满足不了时效要求高的业务场景可见对称和非对称加密各有优缺点我们把它们混合使用来进行加密则可以更好地发挥效果。1、首先使用非对称加密的方式把密钥传给对方对称加密被破解的关键是黑客拿到拿到密钥所以我们可以通过非对称加密方式把密钥加密然后对方拿到后解密即可。2、使用对称加密方式进行后续信息交互。三、如何确保信息的完整性实现信息完整性的手段一般是应用摘要算法也叫散列函数或者哈希函数。它主要是通过任意长度的字符串通过hash函数变成固定长度的字符串。这个固定长度的字符串也被称为数字指纹或者摘要。1、摘要算法的四大特点1不可逆不需密钥只需使用算法即可加密但是密文不能被解密。可用于加密用户密码在存储在数据库中。2难题友好性破解手段只能是暴力枚举需要消耗大量的算力。3发散性明文进行非常小的改动得到的摘要就会发生剧烈的变化抖动。4抗碰撞性摘要算法会把不同长度的字符串变成相同长度的摘要如果这些发生重复那么就成为发生了碰撞。好的算法要求尽可能避免碰撞。在常见的摘要算法中MD5、SHA1不具备很强的抗碰撞性因此目前主流使用SHA2包括SHA224、SHA256、SHA384)算法。2、实际应用流程虽然摘要具有不可逆性但是应对黑客拦截请求、替换原文内容并生成新的摘要这种情况接收方是无法感知的。那么解决这个问题可以对摘要进行加密传送。整个流程主要围绕对摘要进行加密成数字签名然后附在原文后面一起传送给接收方。接收方收到请求后把签名通过发送方的公钥进行解密得到摘要信息并与按原文生成的摘要进行比对如果一致则说明请求没被篡改过。3、进阶数字证书及https应用数字签名对机密性普通程度的信息来说已经基本够用了但是对于安全性很高的信息传播来说还是会有一定问题的。比如接收方得到的发送方的公钥有可能是给人恶意替换了的。比如拿到的公钥被黑客替换了成自己的公钥。那么黑客就可以根据上述数字签名的方式发送自己的请求来欺骗接收方的数据。那么这时候就可以用数字证书来解决。数字证书就是让权威的CA机构为证书所有者的公钥进行背书。其使用可以理解为在数字签名的基础上加一层CA的签名验证。正规的CA其公钥都会保存到操作系统里面方便使用。如果证书由不正规的CA发布那么在验证的过程中会得到警告。3.1、数字证书Digital Certificate的申请机构A向CA提交数字证书申请要提交自己的公钥给CA。CA创建数字证书信息并通过摘要算法把证书原文生成摘要并利用自己的私钥对摘要进行加密得到数字签名。然后把签名放到数字证书里面最后生成机构A的数字证书。数字证书的生成流程类似数字签名生成的证书就可以发送给机构A来使用了。3.2、数字证书的使用当机构A得到数字证书后就可以把数字证书和原文一起放到请求数据里面然后发送数据。接收方接收到数据后会进行以下几步操作1)验证CA的数字签名首先从数据中取出CA的数字签名并用CA的公钥对其进行解密得到摘要信息然后把请求原文数据按摘要算法生成摘要信息最后对比两个摘要的一致性如果一致则说明请求是可信任的并从证书中拿出机构A的公钥2)验证机构A的数字签名首先利用上一步里面得到的机构A的公钥对其进行解密得到摘要信息然后把请求原文数据按摘要算法生成摘要信息最后对比两个摘要的一致性如果一致则说明请求是可信任的3读取原文信息并使用3.3、数字证书的一个典型的应用场景-https协议https协议就是数字证书的一个使用场景。是以安全为目标的 HTTP 通道在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。其关键点在于浏览器向https网站发送加密请求并得到证书然后通过验证后提取网站的公钥接下来就可以与服务器交换加密信息了。四、总结在通讯过程中保持数据的机密性和完整性是非常重要的。数据机密性可以靠可逆加密算法了完成考虑到对效率和安全的平衡一般建议使用对称加密和非对称加密进行混合使用。在传说过程中请求数据有可能给黑客进行拦截和篡改破坏数据的完整性。常见的处理手段是使用数字签名和数字证书。
