企业信息系统的分类简答题(10分)_网页设计与制作招聘信息_中国建设银行英语网站_深圳龙岗建筑有限公司

首先可了解一下HTTPS握手机制 HTTPS加密（握手）过程

接下来对小程序敏感数据传输进行讨论：

参考HTTPS握手过程，计划采取同样方式完成敏感信息会话密钥交换

• 基础

1. 小程序内置RSA公钥，服务端留存RSA私钥
2. 小程序内置RSA加密算法、AES加解密算法、AES随机密钥生成算法、BASE64算法、SHA256算法

• 会话密钥交换

1. AES随机密钥生成算法生成会话密钥，小程序保管会话密钥
2. RSA算法通过内置RSA公钥加密会话密钥，用于会话密钥明文传输
3. wx.login获取loginCode作为密钥交换时的签名验证信息部分原文
4. 对 loginCode+会话密钥 SHA256 HASH算法计算会话密钥交换握手摘要信息，用于后台验证密钥传输是否安全
5. 拼接会话密钥交换握手信息，格式为 loginCode|sha256(loginCode+会话密钥)
6. 采用会话密钥加密握手信息，格式为 aes(握手信息)
7. 组装会话密钥交换报文，与后台通讯交互进行密钥交换，格式为：
   {"client_hello":"握手信息", "secret":"rsa加密完的会话密钥"}
8. 后台接受报文，解析报文，并验证会话密钥交换是否有效，验证方式如下：

a. 后台应用内置RSA私钥解密获取会话密钥明文

b. 通过会话密钥解密握手信息获取握手明文

c. 对解密完成的明文进行校验签名信息是否正确，获取明文窜loginCode及会话密钥通过sha256计算签名信息，判断是否与客户端上送一致

d. 一致情况下对loginCode与微信服务端进行转换，调用服务端API auth.code2Session 接口校验loginCode是否有效

e. 会话密钥校验成功，后台生成会话标识，用于后续敏感信息传输时标识会话信息

• 安全接口设计

1. 通过上述会话密钥交换机制，完成了安全接口的基础保障
2. 在具备会话密钥后，设计安全接口交互保障敏感信息，设计流程如下：

a. 前端生成交易明文 json_data

b. 组织安全接口报文，包含要素：

• 会话标识 s_session_key 来源为密钥交换成功后服务端响应给客户端的会话标识
• 交易时间戳 s_time_stamp
• 交易数据密文 s_data 来源为 aes(json_data) aes加密密钥为会话密钥
• 交易报文摘要 s_mac 来源为 sha256(会话密钥+json_data+s_time_stamp)

c. 后台报文解密及验证，验证流程如下：

根据s_session_key获取会话密钥 --> 解密s_data获取交易明文 --> 服务端计算 s_mac_server (获取服务段留存会话密钥及报文时间戳，按照前端算法及明文拼接方式一致计算) --> 比对计算结果

• 设计分析

通过敏感信息会话密钥机制，可以保护交易敏感数据不被泄露，分析如下：

1. 内置RSA公钥，客户端仅包含RSA公钥，在会话密钥交换过程成只有服务端留存有RSA私钥，故即使抓包，会话密钥也无法被截取
2. 采用微信loginCode作为会话密钥交换时的验证因子，这样后台会话密钥交换成功时通过loginCode与微信后台进行接口交互，
   确保会话交互时是通过小程序官方生成的会话，通过微信接口获取到OpenId留存会话，用于后续会话权限控制使用
3. s_session_key会话标识后台未采用随机算法生成，通过 sha256(UUID＋会话密钥) 保证不可预知

制作小程序要钱吗个人社保缴费基数怎么算出来的网络优化工程师靠谱吗搜索引擎推广的基本思想是让用户gta5买办公室显示网站建设中千图网简历模板免费下载广州百度大楼报价单模板下载免费互联网营销公司安选上海百首网络it外包服务北京应用商店安装下载软件微信公众号运营报告网络服务器提供的服务包括赣州市委办公厅网站英国政府正扫描互联网空间网站视频怎么保存本地分类信息网站营销名词解释阳江网雨大精神病院好吗荔枝视频一个人做一个网站要多久马帮erp打单记录怎么查询企业注册登记的流程创建一个网页需要濮阳网站建设培训创意网络科技公司名称flash动画制作网页广告1688网站搭建企业级快速开发平台快速排名优化哪家便宜大连水费户号查询官网项目网格化管理总结