Jersey Web Services安全問題

Question

我正在構建一個面向公衆的REST應用程序供客戶端訪問。在試圖爲其開發安全性時，我查看了AWS在發送到AWS服務器之前如何使用訪問密鑰和密鑰對消息進行簽名以處理其REST身份驗證。所以我編寫了一個用Jersey，JSP和javascript（jsonp）測試的例子，它似乎工作正常。

1.）在頁面加載時，JSP將客戶端的訪問密鑰和日期/時間（轉換爲EPOCH）並寫入頁面。它還將這兩部分信息通過HMAC-SHA1與客戶端的唯一密鑰相結合。

2.）當我執行JQuery ajax請求時，我傳遞了所有三條信息。

1. 用戶訪問關鍵
2. 日期/時間（EPOCH）
3. 簽名的消息

3）在新澤西一側我把快捷鍵和日期/時間，然後檢查數據庫用戶密鑰。然後我執行我自己的HMAC-SHA1簽名，並將其與用戶提交的簽名消息中的簽名消息進行比較。如果它們匹配，則允許它們使用我們的Web服務。我也檢查日期/時間，只接受過去15分鐘內簽名的消息。

我的問題是，這足夠安全嗎？

Answer 1

這不是一個完整的答案，但我沒有要點評論。我會在服務器端爲你的安全增加一個salt。請參閱this article以獲得有關使用主密鑰和鹽進行哈希的良好討論。