Kādi atslēgas tiek nodotas no servera klientam?

Virsraksts nav nepieciešams saskaņā ar noteikumiem:

No servera uz klientu var tikt nodoti dažādi atslēgas atkarībā no konteksta un izmantotā protokola. Galvenie atslēgu veidi:

Publiskās atslēgas: Asimetriskajā kriptogrāfijā serveris var nodot savu publisko atslēgu klientam. To izmanto:
- datu šifrēšanai no klienta, ko var atšifrēt tikai serveris (ar atbilstošo privāto atslēgu);
- digitālā paraksta pārbaude, kas izveidota ar servera privāto atslēgu.
Sesijas identifikatori / Sesijas tokeni: Tie nav kriptogrāfiski atslēgas, bet tie spēlē sesijas identifikācijas lomu. Serveris ģenerē unikālu identifikatoru pēc klienta autentifikācijas un nosūta to (bieži kā sīkfailu). Klients pēc tam iekļauj šo ID nākamajās pieprasījumos, lai saglabātu sesijas stāvokli.
Simetriskās šifrēšanas atslēgas: Lai gan simetriskās atslēgas reti tiek nodotas tieši atklātā veidā, tās bieži tiek ģenerētas vai saskaņotas drošas savienojuma izveides procesā (piemēram, TLS/SSL protokolos). Serveris un klients var izmantot Diffie-Hellman vai tā variācijas, lai droši saskaņotu kopēju simetrisko atslēgu bez tās tiešas pārraides. Šī simetriskā atslēga pēc tam tiek izmantota visa trafika šifrēšanai sesijas laikā.
Autentifikācijas un autorizācijas tokeni (piemēram, JWT): Serveris var izsniegt klientam tokenu (piemēram, JSON Web Token) pēc veiksmīgas autentifikācijas. Šis tokens satur informāciju par lietotāju un tā tiesībām. Klients nosūta šo tokenu serverim ar katru pieprasījumu, lai apstiprinātu savu identitāti un tiesības. Lai gan tokens nav kriptogrāfiska atslēga, tas ir parakstīts vai šifrēts ar servera zināmiem atslēgām.
API atslēgas / Klienta slepenās atslēgas: Dažās arhitektūrās serveris var izsniegt klientam (piemēram, mobilajai lietojumprogrammai vai citai pakalpojumam) statisku API atslēgu vai slepeno atslēgu, kas tiek izmantota pieprasījumu autentifikācijai. Tomēr tas ir mazāk droši klienta lietojumprogrammām, jo atslēga var tikt izcelta.
Sertifikāti: Servers nodod savu SSL/TLS sertifikātu klientam sākotnējā drošā savienojuma izveides laikā. Sertifikāts satur servera publisko atslēgu un ir parakstīts uzticamas sertifikācijas iestādes. Klients izmanto sertifikātu servera autentiskuma pārbaudei un tā publiskās atslēgas saņemšanai.

Piemērs, izmantojot HTTPS/TLS kontekstā publisko atslēgu:

Klients sāk TLS rokasspiedienu.
Servers nosūta savu sertifikātu, kas satur publisko atslēgu.
Klients pārbauda sertifikātu (uzticības ķēdi, derīguma termiņu un citus) un iegūst servera publisko atslēgu.
Klients ģenerē pagaidu simetrisko sesijas atslēgu.
Klients šifrē šo sesijas atslēgu ar servera publisko atslēgu.
Klients nosūta šifrēto sesijas atslēgu serverim.
Servers atšifrē sesijas atslēgu ar savu privāto atslēgu.
Turpmākā datu apmaiņa tiek šifrēta un atšifrēta ar šo saskaņoto simetrisko sesijas atslēgu.

Galvenie punkti:

Tieša slepeno/privāto atslēgu nodošana no servera uz klientu ir ļoti neieteicama drošības apsvērumu dēļ.
Visbiežāk serveris nodod publiskās atslēgas, sesijas identifikatorus, tokeņus vai piedalās simetrisko atslēgu saskaņošanā.
Konkrēto atslēgu veidi ir atkarīgi no scenārija (autentifikācija, šifrēšana, sesijas uzturēšana utt.).