应用手动AES加密而不是使用HTTPS

Zar*_*Zar 0 security ssl https webserver aes

由于我的主机存在一些问题,我无法在我的服务器上使用SSL证书(我还没准备好更改提供商),因此无法使用HTTPS.该服务器将与几台客户端计算机进行通信,并将传输有些秘密的数据.

简单地使用AES加密(在发送之前在客户端上加密,在处理之前在服务器上解密)而不是HTTPS是否合理

Bru*_*uno 5

这取决于您的部署环境.

使用您自己的加密协议替换SSL/TLS(和HTTPS)以供Web浏览器使用始终是一个坏主意,因为它依赖于不安全的JavaScript代码(例如,请参阅Security.SE上的此问题).

如果客户端不是Web浏览器,则可以使用更多选项.特别是,您可以实现消息级安全性而不是传输级安全性(这是HTTPS使用的).

有许多尝试使用HTTP标准化消息级安全性.例如:

也许更简单地说,如果要重用现有工具,可以使用S/MIME或PGP(与电子邮件相同的方式)加密HTTP消息实体.与HTTPS不同,这不会保护URL或HTTP标头,但如果您不在其中放置任何敏感数据,这可能就足够了.

您自己使用"原始加密"(例如直接使用AES),您越有可能需要手动实施其他安全方面(通常,验证远程方的身份并处理预先解决的问题)分享钥匙).