数据安全及终端加密

可梦之

我们生活在云时代，数据安全越来越重要。HTTPS解决了传输过程中安全问题，但是我们的数据对服务器端还是透明的。包括我们的密码，服务器想把明文存下来技术上没任何问题，主要取决于网站的人品。

  b( H! N" m( K  w6 Q% G+ @5 a如果想让数据对服务器不可见，就需要客户端加密。著名的TG就支持端到端加密，当然各国政府都反对。
2 x: h' O/ n0 ~# E
0 K$ d8 G5 l/ \0 c3 M  m最近学习了一下，用JS做客户端加密，加密之后的数据再传给服务器，这样服务器都不知你的内容是什么。当然，如果密码忘记了，谁都帮不了你了。

我用的是crypto-js里的AES算法。JS是脚本语言，谁都可以看到源代码，想搞猫腻都不容易。


图片1: JS代码
3 v3 m0 d, \  Z' q1 }4 ^( Q9 p图片2: 原始文本
0 s* g8 X9 {& f# L$ c图片3: 加密后文本
0 x: j6 e) ^: U+ l
  I3 }" [5 }/ Q3 j服务器收到的是：
Parameters: {"authenticity_token"=>"/go+Dm9e7V5uWTqdPQOQ8CrsIBNag7a77/KNQNFCeBRrdTvVzHbxoc2WJb2XA4Z4e3wi5GkAvaI4ahFPryq2yw==", "title"=>"第一篇日记", "date"=>"2021-04-15", "content"=>"U2FsdGVkX18Qo7jf6y1hpeVjApkbiox1A+vdQFF4LVlke39DYte1pRAs+UdKA9W5", "commit"=>"修改", "locale"=>"zh-CN", "table_slug"=>"pl2e", "id"=>"1"}

数值分析

如果客户端加密,那么其他用户能解密看到内容么?

老兵帅客

数值分析 发表于 2021-4-15 06:20
. V/ R9 p. G% a: t; z) c* O+ ]如果客户端加密,那么其他用户能解密看到内容么?

他说的是端到端加密，也就是客户与服务器之间的数据在传送之前加密，在收到之后解密。不同的客户与服务器之间可以使用不同的密钥，因此其它客户在收到服务器端发来的数据并且正常解密之后看到的是明文而非密文。

数值分析

老兵帅客 发表于 2021-4-15 19:49
& U+ l# H. H; b( S) K, M+ V. W他说的是端到端加密，也就是客户与服务器之间的数据在传送之前加密，在收到之后解密。不同的客户与服务器 ...

% J. K2 ^/ l/ c0 W. g* u那就只能聊天,而不是像论坛这样发帖子了,是么?

老兵帅客

数值分析 发表于 2021-4-15 06:51
8 f9 ~7 ]% ]. ~& W4 w那就只能聊天,而不是像论坛这样发帖子了,是么?

客户使用方面没区别，只是数据安全加强了而已，代价是密钥管理与分发，因为它需要一个单独的步骤来处理此事。

阿忙

数值分析 发表于 2021-4-15 06:20
如果客户端加密,那么其他用户能解密看到内容么?

要看到内容，要么用特定的客户端，要么知道怎么解密并且有密匙。
/ n6 ~  K% M5 \0 k0 O

MacArthur

需要针对服务器加密。。。 想干什么？

! M4 n' ?# i* L
服务商对流量进行监管本来就是应有之义嘛。。。 顺丰快递肯定不想在不知情的情况下到处邮递危险品吧

赫然

MacArthur 发表于 2021-4-15 09:22
需要针对服务器加密。。。 想干什么？

最后成功吸引各个情报机构的注意，花了老大劲搞清楚是为了抢签。。。。

常挨揍

赫然 发表于 2021-4-15 22:38
1 h# S* x! j$ E3 o6 A; J8 u最后成功吸引各个情报机构的注意，花了老大劲搞清楚是为了抢签。。。。 ...

都是来抢你的，这么多东东都是你发现的

可梦之

数值分析 发表于 2021-4-15 19:51
. K" \/ s; W4 G那就只能聊天,而不是像论坛这样发帖子了,是么?

3 _3 X. c9 {1 ^是的，这个只是适用于某些领域。论坛发帖，本来就是给人看的，加密没意义。

可梦之

MacArthur 发表于 2021-4-15 22:22
需要针对服务器加密。。。 想干什么？

7 H7 G; |4 m7 F3 h1 [2 ]! c2 E想写日记
- M- [1 Z) q) ~$ y8 U还可以保存网站密码之类。总之，一切只想自己看，不想给别人看的东西。

法乎其上

可梦之 发表于 2021-4-15 19:43
想写日记
' n7 _) \0 ~5 `+ I8 S6 \还可以保存网站密码之类。总之，一切只想自己看，不想给别人看的东西。 ...

没错。
( U. R, b: b+ P- r仅仅限于保护自己在云端/服务器的数据。

mezhan

没事找事

可梦之

mezhan 发表于 2021-4-16 05:48
没事找事

生命在于折腾。

我有一些隐私数据，比如信用卡、网站密码等等。存在本地不方便，存在网上不安全。自己搞个服务器，也有可能被hack。加密之后就不怕了，哈哈。OneNote也有加密功能，但是天知道微软知不知道你密码。

看客

可梦之 发表于 2021-4-16 07:19
生命在于折腾。

8 b$ q2 A- V1 g- Y, S我有一些隐私数据，比如信用卡、网站密码等等。存在本地不方便，存在网上不安全。自己搞 ...

9 i. \7 q7 L+ }- ]6 ~0 d  i$ M就说这玩意儿好玩我想玩玩就得了，没必要找那么多理由。真想搞你的密码，手段多得是，社工、旁路，甚至通过摄像头分析你的肩膀动作，功夫在诗外。

可梦之

看客 发表于 2021-4-16 08:48
; g$ J; T3 o1 @" f就说这玩意儿好玩我想玩玩就得了，没必要找那么多理由。真想搞你的密码，手段多得是，社工、旁路，甚至通 ...

嗯，自己有需求，也学点东西，玩玩。

面朝大海

为什么这么多人觉得没用？我觉得很有用啊，可以把数据备份到网盘上，又不用担心网盘拥有者偷看。

面朝大海

我现在就用boxcryptor加密一个文件夹，然后把加密过的文件夹同步到网盘上备份。

可梦之

面朝大海 发表于 2021-4-18 05:20
4 H% Q" C5 F5 G我现在就用boxcryptor加密一个文件夹，然后把加密过的文件夹同步到网盘上备份。 ...

是的，隐私文件最好这样处理一下。天知道服务器会不会扫描你的内容。加个密码至少加一层保障。

可梦之

面朝大海 发表于 2021-4-18 05:19
+ a2 s3 M' m$ m! P; }) K为什么这么多人觉得没用？我觉得很有用啊，可以把数据备份到网盘上，又不用担心网盘拥有者偷看。 ...

4 J, i+ }7 z9 x# [( \+ [大家对云服务商比较放心吧。说实话也没的选择。终端加密技术上没有任何问题，但是IT巨头为了自己的利益肯定会反对的。