發送AES密鑰和IV客戶

Question

是否安全，從服務器發送移動客戶端的AES密鑰和IV用於加密敏感數據？密鑰和IV將使用TLS發送。該密鑰將用於從頭到尾加密數據。

更新：

我的要求實際上已經改變了，所以我並不需要這樣做，但我想出瞭解決方案實際上是讓客戶端通過TLS發送公鑰到服務器。然後服務器可以使用該公鑰對密鑰進行加密並將其發送回客戶端。

Answer 1

這將是在TLS任何數據的安全。這也取決於你的客戶信任這個TLS的數量，這可能沒有雙面認證。

但基本上發送密鑰這種方式並不添加多使用TLS。如果TLS不安全，則AES密鑰不安全。如果不是那麼AES密鑰是安全的......但是TLS已經是安全的了。如果您使用提供前向安全性的密碼套件（DHE_或ECDHE_），則可能會有輕微的優勢。

但總的來說，如果你發送任何東西，你會送一個公鑰如PGP密鑰。另一方面，當事人仍然必須信任發件人（即通過驗證指紋），但是如果TLS連接不安全，那麼泄漏公鑰至少不會破壞使用它加密的任何內容。