Kokie raktai perduodami iš serverio į klientą?

Antraštė nereikalinga pagal taisykles:

Iš serverio į klientą gali būti perduodami įvairūs raktai priklausomai nuo konteksto ir naudojamo protokolo. Pagrindiniai tipai:

1. Vieši raktai: Asimetrinėje kriptografijoje serveris gali perduoti savo viešąjį raktą klientui. Tai naudojama:

   • duomenų šifravimui iš kliento, kurį gali dešifruoti tik serveris (turintis atitinkamą privačią raktą);
   • skaitmeninio parašo patikrinimui, sukurtam serverio naudojant jo privačią raktą.

2. Seanso identifikatoriai / Seanso tokenai: Tai nėra kriptografiniai raktai, bet jie atlieka seanso identifikavimo vaidmenį. Serveris sugeneruoja unikalų identifikatorių po kliento autentifikacijos ir siunčia jį (dažnai kaip cookie). Klientas vėliau įtraukia šį ID į būsimus užklausimus, kad išlaikytų seanso būseną.

3. Simetriški šifravimo raktai: Nors simetriški raktai retai perduodami tiesiogiai atviru tekstu, jie dažnai generuojami arba suderinami saugaus ryšio nustatymo proceso metu (pvz., TLS/SSL protokolais). Serveris ir klientas gali naudoti Diffie-Hellman arba jo variantus saugiai suderinti bendrą simetrišką raktą be jo tiesioginio perdavimo. Šis simetriškas raktas vėliau naudojamas viso srauto šifravimui seanso metu.

4. Autentifikacijos ir autorizacijos tokenai (pvz., JWT): Serveris gali išduoti klientui tokeną (pvz., JSON Web Token) po sėkmingos autentifikacijos. Šis tokenas turi informaciją apie vartotoją ir jo teises. Klientas siunčia šį tokeną serveriui su kiekvienu užklausimu, kad patvirtintų savo tapatybę ir teises. Nors tokenas nėra kriptografinis raktas, jis yra pasirašytas arba užšifruotas naudojant tik serverio žinomus raktus.

5. API raktai / Kliento slaptieji raktai: Kai kuriose architektūrose serveris gali išduoti klientui (pvz., mobiliajai programėlei ar kitai paslaugai) statinį API raktą arba slaptąjį raktą, naudojamą užklausų autentifikavimui. Tačiau tai mažiau saugu klientų programoms, nes raktas gali būti išgautas.

6. Sertifikatai: Serveris perduoda savo SSL/TLS sertifikatą klientui pradžioje, kai nustatomas saugus ryšys. Sertifikatas turi serverio viešąjį raktą ir yra pasirašytas patikimos CA. Klientas naudoja sertifikatą serverio teisėtumo patikrinimui ir jo viešojo rakto gavimui.

Pavyzdys naudojant HTTPS/TLS kontekste viešąjį raktą:

1. Klientas inicijuoja TLS ranką.
2. Serveris siunčia savo sertifikatą, kuris turi viešąjį raktą.
3. Klientas patikrina sertifikatą (pasitikėjimo grandinę, galiojimo laiką ir kt.) ir gauna serverio viešąjį raktą.
4. Klientas sugeneruoja laikiną simetrišką seanso raktą.
5. Klientas šifruoja šį seanso raktą naudodamas serverio viešąjį raktą.
6. Klientas siunčia šifruotą seanso raktą serveriui.
7. Serveris dešifruoja seanso raktą naudodamas savo privačią raktą.
8. Tolimesnė duomenų mainai yra šifruojami ir dešifruojami naudojant šį suderintą simetrišką seanso raktą.

Pagrindiniai punktai:

• Tiesioginis slaptažodžių / privačių raktų perdavimas iš serverio klientui yra labai nerekomenduojamas dėl saugumo.
• Dažniausiai serveris perduoda viešuosius raktus, seanso identifikatorius, tokus arba dalyvauja simetriškų raktų suderinime.
• Konkretus raktų tipas priklauso nuo scenarijaus (autentifikacija, šifravimas, seanso palaikymas ir kt).