标签：公钥 加密 安全 传输 密钥 https 加密算法 客户端
1. 如何安全地传输用户的密码
1.1 https 协议
「http的三大风险」
- 窃听/嗅探风险：第三方可以截获通信数据。
- 数据篡改风险：第三方获取到通信数据后，会进行恶意修改。
- 身份伪造风险：第三方可以冒充他人身份参与通信。
「https 原理」
https = http + SSL/TLS, SSL/TLS 是传输层加密协议，它提供内容加密、身份认证、数据完整性校验，以解决数据传输的安全性问题。
为了加深https原理的理解，我们一起复习一下「一次完整https的请求流程」吧~
-
客户端发起https请求
-
服务器必须要有一套数字证书，可以自己制作，也可以向权威机构申请。这套证书其实就是一对公私钥。
-
服务器将自己的数字证书（含有公钥、证书的颁发机构等）发送给客户端。
-
客户端收到服务器端的数字证书之后，会对其进行验证，主要验证公钥是否有效，比如颁发机构，过期时间等等。如果不通过，则弹出警告框。如果证书没问题，则生成一个密钥（对称加密算法的密钥，其实是一个随机值），并且用证书的公钥对这个随机值加密。
-
客户端会发起https中的第二个请求，将加密之后的客户端密钥(随机值)发送给服务器。
-
服务器接收到客户端发来的密钥之后，会用自己的私钥对其进行非对称解密，解密之后得到客户端密钥，然后用客户端密钥对返回数据进行对称加密，这样数据就变成了密文。
-
服务器将加密后的密文返回给客户端。
-
客户端收到服务器发返回的密文，用自己的密钥（客户端密钥）对其进行对称解密，得到服务器返回的数据。
「https一定安全吗？」
https的数据传输过程，数据都是密文的，那么，使用了https协议传输密码信息，一定是安全的吗？其实「不然」~
- 比如，https 完全就是建立在证书可信的基础上的呢。但是如果遇到中间人伪造证书，一旦客户端通过验证，安全性顿时就没了哦！平时各种钓鱼不可描述的网站，很可能就是黑客在诱导用户安装它们的伪造证书！
- 通过伪造证书，https也是可能被抓包的哦。
1.2 对称加密算法
既然使用了https协议传输用户密码，还是「不一定安全」，那么，我们就给用户密码「加密再传输」呗~
加密算法有「对称加密」和「非对称加密」两大类。用哪种类型的加密算法「靠谱」呢？
对称加密：加密和解密使用「相同密钥」的加密算法。
如果使用对称加密算法，需要考虑「密钥如何给到对方」，如果密钥还是网络传输给对方，传输过程，被中间人拿到的话，也是有风险的哦。
1.3 非对称加密算法
「非对称加密：」 非对称加密算法需要两个密钥（公开密钥和私有密钥）。公钥与私钥是成对存在的，如果用公钥对数据进行加密，只有对应的私钥才能解密。
如果使用非对称加密算法，也需要考虑「密钥公钥如何给到对方」，如果公钥还是网络传输给对方，传输过程，被中间人拿到的话，会有什么问题呢？「他们是不是可以伪造公钥，把伪造的公钥给客户端，然后，用自己的私钥等公钥加密的数据过来？」 大家可以思考下这个问题哈~
我们直接「登录一下百度」，抓下接口请求，验证一发大厂是怎么加密的。可以发现有获取公钥接口，如下:
再看下登录接口，发现就是RSA算法，RSA就是「非对称加密算法」。其实百度前端是用了JavaScript库「jsencrypt」，在github的star还挺多的。
因此，我们可以用 「https + 非对称加密算法（如RSA）」 传输用户密码~
标签：公钥,加密,安全,传输,密钥,https,加密算法,客户端 来源： https://blog.csdn.net/Andy_Health/article/details/116978014
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。