ฉันต้องการลงชื่อ HTML และ JavaScript ทั้งหมดจากไซต์ของฉันด้วยคีย์ส่วนตัว TLS ของไซต์
(ลายเซ็นฐานสิบหกจะนำหน้าด้วย <!-- ความคิดเห็นที่ใช้ได้ทั้ง HTML และ JavaScript และแนบท้ายไฟล์ข้อความ)
ทั้งนี้เพื่อให้ผู้ใช้สามารถพิสูจน์ได้ว่า JavaScript ที่เป็นอันตรายมาจากเรา และเพื่อความมั่นใจว่าเราจะไม่ทำเช่นนั้น
มีปัญหาด้านความปลอดภัยหรือไม่เมื่อใช้คีย์ส่วนตัวเดียวกันนี้สำหรับทั้งการเข้ารหัส TLS และการลงนามระดับแอปพลิเคชัน
คุณสามารถลงนามไฟล์โดยใช้คีย์ส่วนตัวของเซิร์ฟเวอร์ TLS ได้อย่างแน่นอน จากนั้นในฝั่งไคลเอ็นต์ คุณสามารถรับใบรับรอง TLS ที่ใช้สำหรับลิงก์ HTTPS โดยใช้รหัสบางอย่าง เช่น. ด้วย OpenSSL อย่างที่ฉันเขียนไว้ที่นี่และตรวจสอบลายเซ็น
แต่มันคุ้มค่าหรือไม่? ในด้านความปลอดภัย การประดิษฐ์ล้อขึ้นใหม่นั้นไม่ปลอดภัยมากนัก อัลกอริทึมที่คุณให้มานั้นน่าจะใช้งานไม่ได้
การตรวจสอบให้แน่ใจว่าข้อมูลไม่ถูกดัดแปลงระหว่างเซิร์ฟเวอร์และไคลเอนต์เป็นสิ่งที่ TLS ทำอยู่แล้ว - ในวิธีการตรวจสอบ หากผู้โจมตีสามารถแก้ไขไฟล์ของคุณบนเซิร์ฟเวอร์ได้ ก็เป็นไปได้ว่าเขา/เธอจะสามารถเพิ่มใบรับรองของตนเองได้ ดังนั้นกระบวนการลายเซ็นทั้งหมดของคุณก็จะไร้ความหมาย
ฉันจะพึ่งพา TLS และใช้ใบรับรองแยกต่างหากหากคุณต้องการตรวจสอบความถูกต้องของเนื้อหาไฟล์จริงๆ ฉันจะใช้คีย์ส่วนตัว TLS สำหรับ TLS/HTTPS เท่านั้น ไม่ใช่อย่างอื่น
คำว่าคีย์ส่วนตัว tls นั้นคลุมเครือ PRF สร้างจากความลับของพรีมาสเตอร์ที่เจรจากันเป็นคีย์ที่แตกต่างกันทั้งหมดขึ้นอยู่กับชุดรหัสที่เลือก อาจเป็นเพราะคุณหมายถึงคีย์ส่วนตัวจากใบรับรองที่ใช้สำหรับการตรวจสอบเซิร์ฟเวอร์ ในกรณีนี้ คุณต้องวิเคราะห์ว่าผู้โจมตีมีอิทธิพลต่อเนื้อหาที่คุณตอบกลับและลงชื่อหรือไม่ ในบางสถานการณ์ สิ่งนี้สามารถช่วยให้เขาสร้างลายเซ็นที่ถูกต้องของข้อความที่ถูกดัดแปลงโดยที่เขาไม่รู้รหัสส่วนตัว
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
