保护Web应用程序中的公共/私有密钥对

Question

我的应用程序需要一个公共和私有密钥对组合，以便创建签名的URL来从Cloudfront访问我们的资产。 我遇到的问题是如何保护此密钥对，以使未经授权的用户无法简单地自己下载密钥对，并在未经我们许可的情况下生成签名的URL。

我考虑过加密密钥对，但这似乎没有用，因为加密密钥必须存储在客户端代码中，该代码在Javascript中可见。 我想不出任何其他方法来保护密钥对免受那些只能使用Chrome开发人员工具的人的攻击。

有谁知道一种无需在客户端代码中存储密钥即可保护密钥对的方法？ 我已经考虑过代码混淆，但是这种技术似乎很容易解决。 我正在寻找是否还有其他可能。

谢谢。

Answer 1

您不需要保护您的公共密钥，因为它是公共的。

您需要在服务器上而不是在浏览器中签名URL。

保护私钥的最安全方法是使用硬件安全模块，但价格并不便宜。

下一个最佳方法是使用服务器上的访问控制来保护它。