Tham gia Đăng nhập
Điểm:1
fadedbee avatar Crypto

Có an toàn khi ký tin nhắn bằng khóa riêng TLS không?

lá cờ br
fadedbee

Tôi muốn ký tất cả HTML và JavaScript từ trang web của mình bằng khóa riêng TLS của trang web.

(Chữ ký hex sẽ được bắt đầu bằng một <!-- nhận xét hợp lệ cho cả HTML và JavaScript và được đính kèm vào cuối tệp văn bản.)

Điều này là để người dùng cuối có thể chứng minh rằng JavaScript độc hại đến từ chúng tôi và nhờ đó có được niềm tin rằng chúng tôi sẽ không bao giờ làm như vậy.

Có bất kỳ vấn đề bảo mật nào khi sử dụng cùng một khóa riêng này cho cả mã hóa TLS và ký cấp ứng dụng không?

74
0 + 0
real-or-random avatar
lá cờ th
real-or-random
Đó là loại khóa riêng nào? Đây có phải là khóa ECDSA không? Tôi cũng mong là như vậy. ;) Hay đó là khóa RSA?
0
Hồi đáp
DannyNiu avatar
lá cờ vu
DannyNiu
Tôi nghĩ rằng trường hợp sử dụng của bạn có thể được bao phủ bởi [tính toàn vẹn của nguồn phụ](https://developer.mozilla.org/en-US/docs/Web/Security/Subresource_Integrity), bạn có nghĩ vậy không?
1
Hồi đáp
Zac67 avatar
lá cờ vu
Zac67
Nếu máy chủ bị xâm phạm để có thể tiêm mã độc, thì khóa riêng của máy chủ cho SSL cũng có khả năng bị xâm phạm.
2
Hồi đáp
Maarten Bodewes avatar
lá cờ in
Maarten Bodewes
Tôi đang tự hỏi làm thế nào chữ ký sẽ được kiểm tra. Cách xử lý việc quản lý khóa là thủ thuật và đó cũng là nơi có thể xảy ra sự cố - đặc biệt là bạn chưa chỉ ra cách khóa chung tương ứng sẽ được tin cậy. Nếu việc quản lý khóa được xử lý đúng cách thì nó * có thể * thêm một chút bảo mật. Nếu khóa bị xâm phạm thì cả chữ ký xác thực TLS và ký HTML sẽ bị xâm phạm, nhưng không sao nếu chúng được sử dụng cho cùng một mục đích.
0
Hồi đáp
Điểm:2
Arnaud Bouchez avatar Crypto
lá cờ by
Arnaud Bouchez

Chắc chắn bạn có thể ký các tệp bằng khóa riêng TLS của máy chủ. Sau đó, về phía khách hàng, bạn có thể truy xuất chứng chỉ TLS được sử dụng cho liên kết HTTPS bằng một số mã ví dụ. với OpenSSL như tôi đã viết ở đây, và xác minh chữ ký.

Nhưng nó có đáng không? Về bảo mật, phát minh lại bánh xe không an toàn lắm. Thuật toán mà bạn sử dụng có khả năng bị hỏng.

Việc đảm bảo dữ liệu không bị giả mạo giữa máy chủ và máy khách đã là điều mà TLS thực hiện - theo cách đã được kiểm tra. Nếu kẻ tấn công nào đó có thể giả mạo các tệp của bạn trên máy chủ, thì cũng có thể kẻ tấn công đó có thể thêm chứng chỉ của riêng mình. Vì vậy, toàn bộ quá trình chữ ký của bạn sẽ trở nên vô nghĩa.

Tôi sẽ dựa vào TLS và sử dụng chứng chỉ riêng nếu bạn thực sự cần xác thực nội dung tệp. Tôi sẽ chỉ sử dụng khóa riêng TLS cho TLS/HTTPS chứ không phải bất kỳ thứ gì khác.

0 + 0
Điểm:1
avatar Crypto
lá cờ cn
Vic

Thuật ngữ khóa riêng tls không rõ ràng. PRF tạo ra từ bí mật tiền xử lý được thương lượng toàn bộ các khóa khác nhau tùy thuộc vào bộ mật mã đã chọn. Có thể ý bạn là khóa riêng từ chứng chỉ được sử dụng để xác thực máy chủ. Trong trường hợp này, bạn phải phân tích xem liệu kẻ tấn công có thể tác động đến nội dung bạn phản hồi và ký hay không. Trong một số trường hợp, điều này có thể cho phép anh ta tạo chữ ký chính xác của thông báo bị thao túng mà không cần biết về khóa riêng.

0 + 0
lá cờ VietNam
Phan Văn Trường
Câu hỏi này là trong các ngôn ngữ khác:

Đăng câu trả lời

Hầu hết mọi người không hiểu rằng việc đặt nhiều câu hỏi sẽ mở ra cơ hội học hỏi và cải thiện mối quan hệ giữa các cá nhân. Ví dụ, trong các nghiên cứu của Alison, mặc dù mọi người có thể nhớ chính xác có bao nhiêu câu hỏi đã được đặt ra trong các cuộc trò chuyện của họ, nhưng họ không trực giác nhận ra mối liên hệ giữa câu hỏi và sự yêu thích. Qua bốn nghiên cứu, trong đó những người tham gia tự tham gia vào các cuộc trò chuyện hoặc đọc bản ghi lại các cuộc trò chuyện của người khác, mọi người có xu hướng không nhận ra rằng việc đặt câu hỏi sẽ ảnh hưởng—hoặc đã ảnh hưởng—mức độ thân thiện giữa những người đối thoại.