首页 注册 登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX  ›  dzdh  ›  全部回复第 72 页 / 共 88 页
回复总数  1753
1 ... 68  69  70  71  72  73  74  75  76  77 ... 88  
❮ ❯
2021-04-13 22:18:25 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome #132

不是那个问题。

而是，我设计的就是这样的，$ukey 就是我的商户 key 。

和你所谓的微信商户 key 同等权限（在应用设计上），微信商户 key 用来计算生成 hash 或 hmac，不参与网络传输，ok，没问题。

我的$ukey 在公网传输，但是有 https 保证不被泄露啊？有什么问题吗？
2021-04-13 22:15:54 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@kejialiu #128


1+2. Server 端到 Server 端可以自签名证书。

泄露就也就是指的服务器攻击或者或主动或被动的泄露。
- 被攻击泄露，如果服务器被攻击且能读取到 ssl 证书的文件内容本体，我认为数据库也已经不安全了，所有商户的签名 key 也都不安全。
- 或主动或被动的泄露证书私钥，攻击成本他需要控制全国骨干网管理节点或攻破我 DNS 系统，最次也要控制某单个客户的服务器（ server 端）或某单个用户的家庭网络，受影响的也仍然只是某单个用户吧？

链路问题可以设置成全链路 tls 吧？如 cloudflare ？阿里云、腾讯云等众多 CDN 厂商的 cdn 也是支持 https 回源的
2021-04-13 22:01:39 +08:00
回复了 admin7785 创建的主题 › 全球工单系统 › edge, ios safari 都无法打开这位 v 友的链接
:doge: 进不去就对了
2021-04-13 21:58:55 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome #125

curl -u $ukey https://...

$ukey 只有商户平台设置的$ukey，这个绝对不能发给别人。

> "这个绝对不能发给别人，绝对不能在网络上流传，必须严格保密。"

你的意思是破解了 HTTPS ？？？？？？破解了 ECC ？？从而拿到了我的数据包？
2021-04-13 21:57:09 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@jim9606 #123

补充。PKP 是浏览器应用废弃，在 Server 到 Server 场景中依然可用。浏览器端的安全由浏览器自己实现。
2021-04-13 21:55:02 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@jim9606 #123

1. 强制出网 HTTPS 请求走代理？什么场景？需要做审计么？
2. Stripe 和 Paypal 的全球 CDN 的解决方案是什么？高防服务可以数据包转发。抛弃『客户端证书不谈』，就单纯的仅『 HTTPS 』形式如标题的『 curl -u $ukey https://....』貌似并不存在这问题？全链路保证 https （ cdn https 回源）
3. 签名需要的 TIMESTAMP 参数也无法保证
4. 性能问题？
5. 服务端强制要求的密码套件设置呢？
2021-04-13 21:46:56 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome 118

补充，SSLPinning 的前提，只需要知道对方服务器的证书公钥即可。不需要『双端验证』
2021-04-13 21:45:54 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@swulling #120

补充应该还有个『鉴权和身份验证』的功能如『?uid=X&order_id=N&sign=Y 』要验证 uid 是不是 uid
2021-04-13 21:42:36 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome 118

客户端证书我可以直接挂出来公开都行，没有私钥你拿到公钥没有任何意义。

比如我微信支付商户的证书公钥你要吗？我发给你。
2021-04-13 21:38:59 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome #115

另外补充一下，发送的是用于加密认证的的客户端证书公钥，不是私钥。
2021-04-13 21:36:28 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome #115

1. 抛弃『客户端证书』，`curl -u $ukey ..` 的 $ukey 也是『严格保密』的
2. SSLPinning
3. SSLPinning 被攻破代表着已经控制了物理设备，控制了物理设备可以直接读取所谓的『 KEY 』
2021-04-13 21:27:40 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@dzdh #111

抛弃『客户端证书』，`curl -u $ukey ..` 的 $ukey 也是『严格保密』的
2021-04-13 21:26:00 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@hxndg 然而发现自己都说服不了自己，反而越来越认为这样是『对的』，签名模式并没有存在的必要。
2021-04-13 21:25:16 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@hxndg

因为最近的业务设计思来想去决定仿照 Stripe 的接口风格，想集思广益证明『单纯的 https 』不安全。
2021-04-13 21:24:21 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome

同样的『客户端证书』也是严格保密的，外人肯定不会知道
2021-04-13 20:10:24 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome 107

如果一个密码公开发放，那的确没有必要性。
2021-04-13 20:04:38 +08:00
回复了 FutureApple 创建的主题 › NGINX › 如何实现后端服务器-----反代服务器-------CDN 这三层后后端服务器还能获取源站 ip 的架构？
nginx proxy_protocol
2021-04-13 20:03:08 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@3dwelcome 102

所以，『纯技术』上，在有 HTTPS 保护的前提下，签名没有『必要性』
2021-04-13 20:01:42 +08:00
回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？
@sekfung 101

对于#88 楼的回复见 #96 楼

SSLPinning 被攻破，仅仅是单个客户端的安全（而且绝大多数情况下是自己搞得）。
而『签名』的密钥通过 HOOK 方法一样也能轻松拿到，而且拿到签名密钥是不是意味着所有的客户端都不安全？
1 ... 68  69  70  71  72  73  74  75  76  77 ... 88  
❮ ❯
关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   1302 人在线   最高记录 6679   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 25ms · UTC 23:25 · PVG 07:25 · LAX 15:25 · JFK 18:25
Developed with CodeLauncher
♥ Do have faith in what you're doing.