加密服务端，在客户端解密（aes）答案

【问题标题】：encrypting service side, decrypting on client (aes)加密服务端，在客户端解密（aes）
【发布时间】：2010-09-15 23:53:29
【问题描述】：

我希望这足够清楚：

我有一个身份验证服务，可以查询我的 aspnet 角色提供程序数据库。身份验证服务将角色详细信息传递回用户对象内的客户端。使用该角色，我查询我的 web.config 以确定用户可以看到的值。

安全团队进行了审查，他们可以看到 User 对象的 Roles 属性。他们拦截此响应，使用“管理员”角色对其进行欺骗，并以此查询我的 Web 配置。

我正在使用 AES 在服务端进行加密，在客户端进行解密，但在用户对象中解密角色时遇到了只读问题。

有没有人有更好的想法、建议？

谢谢，迈克

【问题讨论】：

【解决方案1】：

如果您想避免欺骗，您可以对您发送的响应进行签名，并让收到消息的角色验证签名。这通常使用公钥加密（通常使用 X.509 证书）来完成。

总的来说，您是否考虑过为此使用现有的基础架构，例如 Kerberos/ActiveDirectory？

【讨论】：