एन्क्रिप्शन: जावास्क्रिप्ट और अजगर

Question

चीन महान फ़ायरवॉल के कारण

अवरुद्ध कर दिया है गूगल appengine के https बंदरगाह में एसएसएल अनुकरण। इसलिए मैं अपने उपयोगकर्ताओं की जानकारी की रक्षा के लिए जावास्क्रिप्ट और पायथन द्वारा एक सुरक्षित सॉकेट लेयर अनुकरण करना चाहता हूं, उन आईएसपी और जीएफडब्लू द्वारा कैप्चर नहीं किया जाएगा।

मेरे योजना:

• शेक हाथ:

ब्राउज़र अनुरोध सर्वर, सर्वर एन्क्रिप्ट कुंजी k1 उत्पन्न, और मुख्य k2 डिक्रिप्ट, ब्राउज़र को k1 भेजें। ब्राउज़र एन्क्रिप्ट कुंजी के 3 उत्पन्न करता है, और कुंजी k4 डिक्रिप्ट करता है, सर्वर पर k3 भेजता है।

• ब्राउज़:

सत्र के दौरान, k1 के साथ ब्राउज़र एन्क्रिप्ट डेटा और सर्वर के लिए भेजने के लिए, सर्वर k2 साथ डिक्रिप्ट। सर्वर के 3 के साथ डेटा एन्क्रिप्ट डेटा और ब्राउज़र के लिए प्रतिक्रिया, ब्राउज़र के 4 के साथ डिक्रिप्ट।

कृपया मेरी गलती का पता लगाएं।

यदि यह सही है, मेरे सवाल का

1. कैसे में एक महत्वपूर्ण जोड़ी उत्पन्न करने के लिए जावास्क्रिप्ट और अजगर, वहाँ कुछ पुस्तकालयों हो रहा है?
2. एन्क्रिप्ट और में डेटा को डिक्रिप्ट जावास्क्रिप्ट और अजगर, वहाँ कुछ पुस्तकालय हैं के लिए?

Answer 1

सुरक्षा समस्या वास्तव में एक बड़ी चिंता है, तो एक बड़ी समस्या है: आपके एल्गोरिदम को असुरक्षित स्थानांतरित करने जा रहा है। क्या आप क्लाइंट पर भरोसा कर सकते हैं? क्या ग्राहक सर्वर पर भरोसा कर सकता है?

Answer 2

आप विश्वास है, जो यह असंभव एक आदमी-इन-मध्यम हमले को रोकने के लिए बनाता है स्थापित करने के लिए कोई बिल्ट-इन रूट प्रमाणपत्र के लिए होता है कि SSL की एक जावास्क्रिप्ट कार्यान्वयन में एक मौलिक समस्या है। रूट सर्टिफिकेट सहित, आपकी साइट से आपके द्वारा वितरित किए गए कोई प्रमाण पत्र को एक जासूसी द्वारा अवरुद्ध और प्रतिस्थापित किया जा सकता है।

नोट यह एक मौलिक सीमा, जिस तरह एसएसएल कार्यों का विशेष लक्षण है। सभी क्रिप्टोग्राफिक सुरक्षा एक साझा रहस्य स्थापित करने पर निर्भर करती है। मुख्यधारा के ब्राउज़र के साथ तैनात रूट प्रमाण पत्र प्राधिकरण (सीएएस) प्रमाणित करके स्थापित ट्रस्ट नेटवर्क को प्रवेश बिंदु प्रदान करते हैं जो आपको किसी ज्ञात तृतीय पक्ष के साथ साझा रहस्य स्थापित करने में सक्षम बनाता है। ये प्रमाण पत्र, AFAIK नहीं हैं, सीधे जावास्क्रिप्ट कोड तक पहुंच योग्य हैं। उनका उपयोग केवल सुरक्षित (उदा।, Https) कनेक्शन स्थापित करने के लिए किया जाता है।

Answer 3

आप अपने पैकेट/संदेशों को फँसाने से बीच में पुरुषों को रोक नहीं सकते, खासकर अगर वे वास्तव में परवाह नहीं है यदि आप पता लगाना। आप क्या कर सकते हैं अपने संदेशों को एन्क्रिप्ट कर सकते हैं ताकि उन्हें फँसाने से उन्हें जो भी आप भेज रहे हैं उसे प्राप्त करने में सक्षम न हो। सिद्धांत में यह ठीक है, लेकिन व्यावहारिक रूप से आप कुंजी के साथ भी आधुनिक क्रिप्टो नहीं कर सकते हैं: आपको कुछ सॉफ़्टवेयर भी स्थानांतरित करने की आवश्यकता है, और यही वह जगह है जहां यह अधिक अजीब हो जाता है।

आपको कम से कम करने के लिए पर्याप्त है कि क्या क्रिप्टो सॉफ्टवेयर का एक डिजिटल हस्ताक्षर सही है की जाँच करने में सक्षम होना स्थानीय स्तर पर क्रिप्टो सॉफ्टवेयर के ग्राहक की ओर है, या चाहते हैं। डिजिटल हस्ताक्षर बहुत फोर्ज करना मुश्किल है।हस्ताक्षरित कोड वितरित करें, इसके हस्ताक्षर की जांच करें, और यदि हस्ताक्षर किसी सार्वजनिक कुंजी के विरुद्ध मान्य होता है जिसे आप भरोसा करते हैं (हां, आपको इसे बैंड से बाहर स्थानांतरित करना होगा) तो आप जानते हैं कि कोड (प्लस कोई भी सीए प्रमाणपत्र - ट्रस्ट जड़ - भेजा गया इसके साथ) वांछित के रूप में काम करने के लिए भरोसा किया जा सकता है। पैकेट तब सादे HTTP पर जा सकते हैं; वे या तो उस स्थान पर पहुंच जाएंगे जहां उनका अर्थ है या अवरुद्ध किया जा सकता है, लेकिन किसी भी तरह से इच्छित प्राप्तकर्ता कोई भी उन्हें पढ़ने में सक्षम नहीं होगा। केवल एसएसएल का लाभ यह है कि यह आपके लिए यह सब सामान बनाता है और इसे आसान बनाता है।

मुझे नहीं पता कि जावास्क्रिप्ट में यह सब करना कितना व्यावहारिक है। जाहिर है यह यह कर सकता है - यह एक ट्यूरिंग-पूर्ण भाषा है, इसमें सभी आवश्यक सिस्को तक पहुंच है - लेकिन यह बेवकूफ महंगा हो सकता है। यह आसान GPG का उपयोग कर के मामले में सोचने के लिए ...

यहाँ सही हो सकता है

Answer 4

अन्य उत्तर कर रहे हैं (सरकार है कि आप सभी पर संवाद कर रहे हैं से तथ्य छिपाए जा रहे हैं एक अलग समस्या पूरी तरह से है।): आप जीता ' क्लाइंट पर चलने वाली जावास्क्रिप्ट को सुरक्षित रूप से वितरित करने में सक्षम नहीं हो। हालांकि, अगर आप इस सामान को और कुछ और देखना चाहते हैं, तो ओपनसोर्स प्रोजेक्ट फोर्ज देखें। यह जावास्क्रिप्ट में एक SSL/TLS कार्यान्वयन और एक साधारण अजगर SSL सर्वर है:

http://github.com/digitalbazaar/forge/blob/master/README

आप इसके उपयोग पर कुछ अधिक पढ़ा करना चाहते हैं:

http://digitalbazaar.com/2010/07/20/javascript-tls-1/

http://digitalbazaar.com/2010/07/20/javascript-tls-2/