V2EX › dzdh 的所有回复 › 第 46 页 / 共 88 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 42 43 44 45 46 47 48 49 50 51 ... 88

❮

❯

2022-07-26 22:45:02 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@dorothyREN #53 那签名怎么知道 secretkey 没泄漏呢

2022-07-26 22:07:16 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@datoujiejie221

不。我说的是 [客户端证书] 。必须是指定 CA 签发（私有）的证书，并且能被正确解析的从证书中解析出 COMMONNAME 当作 UID 使用的。

不是用于 HTTPS 连接的权威 CA 证书。

rsasign 指的是使用私有 RSA Private Key 对指定字符串生成的 sign 如（ php: openssl_sign （$data, $private_key, $sign ))

2022-07-26 21:05:14 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@datoujiejie221

我有个疑问。用 hmac/md*/sha*(rsa 除外啊)我不是也可以无限尝试嘛? 因为你采用的哈希算法和排列方式是公开的呀。

无非是

https://xx?key=$RANDOM 无限

和

https://xx?{hmac(key1value1,key2value2,$RANDOM_SALT} 的问题吗？

如果是 rsasign ，那是不是一样可以客户端证书呢？

2022-07-26 20:25:33 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@seth19960929

#42
服务器都被入侵了你告诉我有什么手段还能是安全的？就算你硬件加密也屁用没有啊？
#43
那 stripe\google\facebook\paypal 就都不安全呗？

@vantis #44
不是光 https 就没别的了。https+ http basic auth 一样能证明啊

2022-07-26 18:27:16 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@seth19960929 #38/39

抬杠。

难不难？难。能不能？能。所以因为这个就必须、一定、绝对要前端签名吗？而且一直说的是 S-S 。

2022-07-26 18:24:14 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

https://v2ex.com/help/api

包括 v2 的 api 也是有个固定的 token 就行。我保护好我的 token 即可，泄露了就重新生成。Server-Server 的模式。

sign 私以为适合的是类似 S3 的私有文件开放给他人下载场景用，三方用户无需任何配置可直接凭 URL 访问资源。

2022-07-26 17:59:23 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@andyskaura yep

2022-07-26 17:50:01 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@seth19960929 #29
太能了。客户端抓个包而已。

https://zhuanlan.zhihu.com/p/355450670
https://blog.csdn.net/qq_44862120/article/details/107467725
https://www.cnblogs.com/cherish-hao/p/12815603.html

ios 越狱后照抓不误。函数 hook 完每一步干了啥都清清楚楚。S-S 服务端，没必要，可以客户端证书。C->S 端，更更没必要。

2022-07-26 17:47:27 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@jiulang #32
精辟！

2022-07-26 17:47:16 +08:00

回复了 dayeye2006199 创建的主题 › 信息安全 › 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名

@ychost
@andyskaura

的确不冲突。但是。是否 [必须] 要 md5/sha*/hmac* + salt 。直接在 https 基础上 basic auth 行不行呢？