Koje ključeve server prenosi na klijenta?

Наслов није потребан у складу са правилима.

Од сервера ка клијенту могу се преносити различити кључеви у зависности од контекста и коришћеног протокола. Главне врсте кључева који могу бити пренети или договорени:

Јавни кључеви: У асиметричној криптографији, сервер може пренети свој јавни кључ клијенту. Ово се користи за:
- Шифровање података од стране клијента, које може дешифровати само сервер (поседујући одговарајући приватни кључ).
- Проверу дигиталног потписа који је креирао сервер коришћењем његовог приватног кључа.
Идентификатори сесије (Session IDs) / Токени сесије (Session Tokens): Ово нису криптографски кључеви у чистом облику, али играју улогу кључа за идентификацију корисничке сесије. Сервер генерише јединствени идентификатор након аутентификације клијента и шаље га клијенту (често у облику колачића). Клијент затим укључује овај ID у накнадне захтеве за одржавање стања сесије.
Кључеви за шифровање симетричким алгоритмима: Иако се симетрични кључеви ретко преносе директно у отвореном облику, они се често генеришу или договоре током успостављања заштићене везе (на пример, преко протокола TLS/SSL). Сервер и клијент могу користити алгоритам Дифи-Хелман или његове варијанте за безбедно договорење заједничког симетричног кључа без његовог директног преноса. Овај симетрични кључ се затим користи за шифровање целог саобраћаја у оквиру сесије.
Токени за аутентификацију и овлашћење (нпр. JWT): Сервер може издати клијенту токен (нпр. JSON Web Token) након успешне аутентификације. Овај токен садржи информације о кориснику и његовим правима. Клијент шаље овај токен серверу са сваким захтевом за потврду своје личности и права. Иако токен није криптографски кључ, он је потписан или шифрован коришћењем кључева који су познати само серверу (или више сервера/услуга).
API кључеви / Тајни кључеви клијента: У неким архитектурама, сервер може издати клијенту (нпр. мобилној апликацији или другом сервису) статички API кључ или тајни кључ за коришћење као део аутентификације захтева. Међутим, ово је мање безбедно за клијентске апликације, јер кључ може бити извуčen.
Сертификати: Сервер преноси свој SSL/TLS сертификат клијенту на почетку успостављања заштићене везе. Сертификат садржи јавни кључ сервера и потписан је од стране поверљиве сертификатне агенције. Клијент користи сертификат за проверу аутентичности сервера и добијање његовог јавног кључа.

Пример коришћења јавног кључа у контексту HTTPS/TLS:

Клијент иницира TLS руковање.
Сервер шаље клијенту свој сертификат, који садржи јавни кључ сервера.
Клијент проверава сертификат (ланцан довербе, рок важења итд.) и извлачи јавни кључ сервера.
Клијент генерише привремени симетрични кључ за сесију.
Клијент шифрује овај симетрични кључ коришћењем јавног кључа сервера.
Клијент шаље шифровани симетрични кључ серверу.
Сервер дешифрује симетрични кључ коришћењем свог приватног кључа.
Наставља се размена података између клијента и сервера која је шифрована и дешифрована коришћењем овог договореног симетричног кључа сесије.

Кључне тачке:

Пряма предаја тајних/приватних кључева од сервера ка клијенту је изузетно непожељна из безбедносних разлога.
Најчешће, сервер преноси јавне кључеве, идентификаторе сесија, токене или учествује у договарању симетричних кључева.
Употреба одређених типова кључева зависи од сценарија (аутентификација, шифровање, одржавање сесије итд.).