青岛的网站设计公司_公司宣传册设计与制作公司_新零售商城_为自家企业做网站

首先可了解一下HTTPS握手机制 HTTPS加密（握手）过程

接下来对小程序敏感数据传输进行讨论：

参考HTTPS握手过程，计划采取同样方式完成敏感信息会话密钥交换

• 基础

1. 小程序内置RSA公钥，服务端留存RSA私钥
2. 小程序内置RSA加密算法、AES加解密算法、AES随机密钥生成算法、BASE64算法、SHA256算法

• 会话密钥交换

1. AES随机密钥生成算法生成会话密钥，小程序保管会话密钥
2. RSA算法通过内置RSA公钥加密会话密钥，用于会话密钥明文传输
3. wx.login获取loginCode作为密钥交换时的签名验证信息部分原文
4. 对 loginCode+会话密钥 SHA256 HASH算法计算会话密钥交换握手摘要信息，用于后台验证密钥传输是否安全
5. 拼接会话密钥交换握手信息，格式为 loginCode|sha256(loginCode+会话密钥)
6. 采用会话密钥加密握手信息，格式为 aes(握手信息)
7. 组装会话密钥交换报文，与后台通讯交互进行密钥交换，格式为：
   {"client_hello":"握手信息", "secret":"rsa加密完的会话密钥"}
8. 后台接受报文，解析报文，并验证会话密钥交换是否有效，验证方式如下：

a. 后台应用内置RSA私钥解密获取会话密钥明文

b. 通过会话密钥解密握手信息获取握手明文

c. 对解密完成的明文进行校验签名信息是否正确，获取明文窜loginCode及会话密钥通过sha256计算签名信息，判断是否与客户端上送一致

d. 一致情况下对loginCode与微信服务端进行转换，调用服务端API auth.code2Session 接口校验loginCode是否有效

e. 会话密钥校验成功，后台生成会话标识，用于后续敏感信息传输时标识会话信息

• 安全接口设计

1. 通过上述会话密钥交换机制，完成了安全接口的基础保障
2. 在具备会话密钥后，设计安全接口交互保障敏感信息，设计流程如下：

a. 前端生成交易明文 json_data

b. 组织安全接口报文，包含要素：

• 会话标识 s_session_key 来源为密钥交换成功后服务端响应给客户端的会话标识
• 交易时间戳 s_time_stamp
• 交易数据密文 s_data 来源为 aes(json_data) aes加密密钥为会话密钥
• 交易报文摘要 s_mac 来源为 sha256(会话密钥+json_data+s_time_stamp)

c. 后台报文解密及验证，验证流程如下：

根据s_session_key获取会话密钥 --> 解密s_data获取交易明文 --> 服务端计算 s_mac_server (获取服务段留存会话密钥及报文时间戳，按照前端算法及明文拼接方式一致计算) --> 比对计算结果

• 设计分析

通过敏感信息会话密钥机制，可以保护交易敏感数据不被泄露，分析如下：

1. 内置RSA公钥，客户端仅包含RSA公钥，在会话密钥交换过程成只有服务端留存有RSA私钥，故即使抓包，会话密钥也无法被截取
2. 采用微信loginCode作为会话密钥交换时的验证因子，这样后台会话密钥交换成功时通过loginCode与微信后台进行接口交互，
   确保会话交互时是通过小程序官方生成的会话，通过微信接口获取到OpenId留存会话，用于后续会话权限控制使用
3. s_session_key会话标识后台未采用随机算法生成，通过 sha256(UUID＋会话密钥) 保证不可预知

电脑培训班多少费用吃什么补肾吗ui设计需要学哪些内容广东东莞发布最新消息呼和浩特最好的互联网公司阿里云gpu服务器租用费用阿里云个人域名备案流程云南文山在哪里网络运营与维护主要做什么微信公众号跳转的网页怎么制作在线画流程图的网站餐饮服务案例100例精彩app应用下载国内网站备案流程最新一轮阳性症状北京市朝阳区码制作二维码生成器福田欧曼前四后八电子工程师兼职平台2003年前深圳注册公司有什么要求莱芜都市网帖子怎么删除长春网站建设手机版游戏的制作方法财经app制作公司苹果新品发布会网店托管协议临海高端网站设计新感觉建站软件设计的过程页面设计期末作业触宝免费网络电话六安新安人才网

猜你喜欢

• 上海网站推广专员需求_招工网站服务
• 房地产查询官网_广州疫情风险等级最新消息
• 大连网络推广营销_郑州最近14天疫情情况
• 天美传媒传媒官网免费下载_石家庄企业网站网页设计