三种保证URL地址可信的加密方式.docVIP

三种保证URL地址可信的加密方式近日接到一个需求，要求一台资源服务器不仅在可以暴露在公网环境下的同时，还要保证只接受并处理可信的http访问请求。 ? 需求场景如图： 为了访问资源文件，用户需要首先访问某一台Frontend Server进行用户身份认证———所有的用户信息均由Frontend Server保存，Frontend Server认证通过后返回真实的重定向地址，用户再根据重定向地址访问Resource Server获取资源文件。具体的使用场景正如上面所述，下面是我的思考过程... ? 为了保证资源服务器收到的是一个可信的重定向地址，在安全性上有三点考虑： ? 重定向地址必须是可信的，即不可以被伪造，必须是由某一台Frontend Server返回的重定向地址。 为了防止盗链或资源被采集，每个Frontend Server返回的重定向地址应具有时效性。这个可以通过在链接地址上增加时间戳实现，但前提是该时间戳不可以被伪造。 最后，在必要的情况下，还可以不去响应某一台Frontend Server返回的重定向地址，即认为某一台Frontend Server的重定向地址不可信、该Frontend Server不可信。这要求Resource Server能够及时标示一台Frontend Server为不可信服务器，并且该Frontend? Sever服务器还不可伪造剩余可信服务器返回的重定向地址。 ? 以上三点也可以总结为：防止公网用户伪造URL地址，防止不可信Frontend Server伪造地址，防止过期URL地址访问。由于Resource Server需要允许所有的公网用户访问，所以不能对Ip进行限制，并且一般情况下Resouce Server也不会与Frontend Server直接通信，因此只能通过URL的验证方式。Frontend Server在生成每个URL的过程中中应包括Resource Server为每一个Frontend Server分配的账户fsId、密钥fsKey以及记录当前URL生成时间的时间戳fstime。fsid必须明文传输，fsKey做为加密运算的一个常量不可以明文传输。可以想到的有如下三种： 1.使用自定的加密函数生成加密签名字符串。 加密函数将所有需要明文传输的参数以及当前Frontend Server使用的密钥fsKey做为参数并通过MD5转换后生成加密签名字符串，md5(encode(params,fsid, fskey, fstime))。重定向地址链接： /fsid=***fstime=***params=***signmsg=md5(encode(params,fsid,fskey, fstime)) Resource Server收到该请求后 根据fstime判断该请求是否过期，过期请求直接返回。 根据fsid判断该Frontend Server是否可信，如可信再根据fsid获得服务器端保存的fskey。 使用相同的参数加密签名过程，Resource Server根据params,fsid, fskey, fstime生成签名字符串。 比较重定向地址传来的签名字符串signmsg与本地生成的签名字符串是否相同，相同则认为是可信请求，否则为非法请求。 2.使用对称加密算法保证HTTP通信可信。 Resource Server为每一台Frontend Server分配不同的Des密钥（fskey），Frontend Server使用对称加密算法对拼接后的传递参数进行加密des(params|fstime)重定向地址链接：/fsid=***desmsg= des(params|fstime) Resource Server收到该请求后 首先根据fsid判断该Frontend Server是否可信，如可信再根据fsid获得每个Frontend Server使用的Des密钥fskey。 使用密钥对desmsg信息解密，解密失败直接返回。 根据解密后的fstime判断是否过期，过期直接返回。 3.同时使用非对称，对称加密算法保证HTTP通信可信。 Frontend Server随机生成key做为对称加密算法的公钥des(params|fskey|fstime)，并使用Resource Server提供的公钥对key进行非对称加密rsa(key)重定向地址链接：/fsid=***rsamsg=rsa(key)desmsg= des(params|fskey|fstime) Resource Server收到该请求后 首先根据fsid判断该Frontend Server是否可信，如可信再根据服务器端保存的非对称加密私钥解密rsa(key)。