共享公钥的问题答案

【问题标题】：Problems with sharing public key共享公钥的问题
【发布时间】：2012-09-16 14:06:09
【问题描述】：

我正在使用客户端/服务器，我在应用程序本身中为每个客户端提供了一个公钥，并且在客户端和服务器之间的任何对话开始时，他们使用这个公钥/私钥对共享一个 AES 密钥，然后每个使用此密钥对事物进行加密 ....

我想知道这个模型会出现什么问题......一个是服务器无法验证谁实际发送数据。数字签名......但用户稍后会发送它的凭据......

MIM 攻击在这里可以做什么？

【问题讨论】：

【解决方案1】：

是的，您在这里冒险。一个（攻击者）可以接受这个public key 并充当受信任的client。我猜你已经使用ssh-keygen 创建了public key。

【讨论】：

【解决方案2】：

总之，这很复杂，不要试图重新发明它，只需使用 SSL。有多种方法可以解决这个问题，除非这是出于学术目的，否则不要这样做。

【讨论】：

是的，我理解 SSL 将是最好的...我如何让别人理解它的问题...
获得一本好的网络安全教科书 :) 你必须注意（至少）：验证每一方的身份；协商一个通用的加密算法；每次使用不同的强对称密钥；防止重播；确保消息完整性。尝试检查您的自定义方案如何做（或不做）所有这些事情，您会发现问题出在哪里。