了解 Salt 与 AES256 的使用，并通过网络发送数据

Question

我正在尝试加密一个 NSString 内容并将其发送到服务器。

AES 密钥，不应是简单的纯文本。 例如：“密码$5”。

应该添加盐，所以它就像 randomData + Password$5。

此密钥将用于加密。

所以，我将向服务器发送这样的 JSON

{
 password:"Encrypted Password with AES256"
}

现在，我的问题是密钥是随机的，因为盐是随机的，那么我将如何解密 AES256 接收到的加密字符串？

虽然我知道密钥（密码$5），但我不知道盐？

我是否必须将盐发送到服务器（最好的位置是什么，应该在标头中还是在响应本身中），它安全吗？

{
password: "Encrypted Password with AES256",
salt: "Random Hex bytes used"
}

另外，有什么方法可以使用 Spring Restful 服务来处理这个问题？

Answer 1

如果您的目标是对通过网络发送的数据进行加密，则应使用安全连接进行处理。这是在服务器之间，而不是由您的应用程序代码处理。

如果您应该对数据本身进行加密，那么您希望在服务器端处理盐的生成、加密。

对于密码，您需要散列而不是加密。永远不应该有解密密码的理由。您始终可以对提供的密码进行哈希处理并比较哈希值。

Answer 2

只需使用https，所有数据和查询字符串都被加密。添加证书固定，甚至缓解 MITM 攻击。你的加密也不会更好。

如果您决定自己进行加密，请使用RNCryptor。不熟悉密码学的人几乎不可能获得正确的安全性。

在服务器上不要保存密码，通过 PBKDF2 使用 salt 运行它并保存 salt、迭代次数和哈希密码。