Serverdan mijozga qanday kalitlar uzatiladi?

Sarlavha kerak emas qoidalar bo'yicha.

Serverdan mijozga turli kalitlar uzatilishi mumkin kontekst va foydalanilayotgan protokolga qarab. Uzatilishi yoki kelishilishi mumkin bo'lgan asosiy kalit turlari:

Jamoat kalitlari: Asimmetrik kriptografiyada, server o'z jamoat kalitini mijozga uzatishi mumkin. Bu uchun ishlatiladi:
- Mijoz tomonidan ma'lumotlarni shifrlash, faqat server (mos keladigan xususiy kalitga ega bo'lib) uni ochishi mumkin.
- Server tomonidan foydalanilgan xususiy kalit bilan yaratilgan raqamli imzoni tekshirish.
Sessiya identifikatorlari (Session IDs) / Sessiya tokenlari: Bu to'g'ridan-to'g'ri kriptografik kalitlar emas, lekin ular foydalanuvchi sessiyasini aniqlash uchun kalit vazifasini bajaradi. Server autentifikatsiyadan so'ng, noyob identifikatorni yaratadi va uni (ko'pincha cookie shaklida) mijozga yuboradi. Mijoz keyinchalik bu IDni so'rovlarida sessiya holatini saqlash uchun qo'shadi.
Simmetrik shifrlash uchun kalitlar: Garchi simmetrik kalitlar juda kam hollarda to'g'ridan-to'g'ri ochiq ko'rinishda uzatilsa-da, ular odatda xavfsiz ulanishni o'rnatish jarayonida (masalan, TLS/SSL protokollari orqali) yaratiladi yoki kelishiladi. Server va mijoz Diffie-Hellman algoritmi yoki uning variantlarini ishlatib, xavfsiz tarzda umumiy simmetrik kalitni kelishishi mumkin. Bu simmetrik kalit keyinchalik sessiya davomida barcha trafikni shifrlash uchun ishlatiladi.
Autentifikatsiya va ruxsatnoma tokenlari (masalan, JWT): Server muvaffaqiyatli autentifikatsiyadan so'ng, mijozga token (masalan, JSON Web Token) chiqarishi mumkin. Bu token foydalanuvchi va uning huquqlari haqida ma'lumotlarni o'z ichiga oladi. Mijoz bu tokenni har bir so'rovda serverga yuboradi, shaxsini va huquqlarini tasdiqlash uchun. Token kriptografik kalit bo'lmasa-da, u faqat server (yoki bir nechta server/xizmatlar) tomonidan ma'lum bo'lgan kalitlar yordamida imzolangan yoki shifrlangan bo'lishi mumkin.
API kalitlari / Mijozning maxfiy kalitlari: Ba'zi arxitekturalarda, server mijozga (masalan, mobil ilova yoki boshqa xizmatga) statik API kalitini yoki maxfiy kalitni berishi mumkin, bu so'rovlarni autentifikatsiya qilish uchun ishlatiladi. Biroq, bu mijoz ilovalari uchun kamroq xavfsiz, chunki kalit osonlik bilan chiqarib tashlanishi mumkin.
Sertifikatlar: Server o'z SSL/TLS sertifikatini boshlang'ich xavfsiz ulanishda mijozga uzatadi. Sertifikat serverning jamoat kalitini o'z ichiga oladi va ishonchli Sertifikatlashtirish markazi tomonidan imzolangan. Mijoz sertifikatni serverning haqiqiyligini tekshirish va uning jamoat kalitini olish uchun ishlatadi.

HTTPS/TLS kontekstida jamoat kalitidan foydalanish misoli:

Mijoz TLS qo'l ushlashini boshlaydi.
Server o'z sertifikatini mijozga yuboradi, unda serverning jamoat kaliti mavjud.
Mijoz sertifikatni (ishonch zanjiri, amal qilish muddati va boshqalar) tekshiradi va serverning jamoat kalitini chiqaradi.
Mijoz vaqtinchalik simmetrik kalitni yaratadi.
Mijoz bu simmetrik kalitni serverning jamoat kaliti yordamida shifrlaydi.
Shifrlangan bu kalitni serverga yuboradi.
Server, o'z maxfiy kaliti yordamida, sessiya kalitini ochadi.
Keyingi ma'lumotlar almashinuvi, bu kelishilgan simmetrik kalit yordamida shifrlanadi va ochiladi.

Asosiy nuqtalar:

Maxfiy/privat kalitlarning serverdan mijozga to'g'ridan-to'g'ri uzatilishi juda tavsiya etilmaydi xavfsizlik nuqtai nazaridan.
Ko'pincha, server jamoat kalitlar, sessiya identifikatorlari, tokenlar yoki simmetrik kalitlarni kelishish bilan shug'ullanadi.
Maxsus kalit turlarining ishlatilishi, scenariyga bog'liq (autentifikatsiya, shifrlash, sessiya davomiyligini ta'minlash va boshqalar).