泽西岛Web服务安全问题

Question

我正在构建一个面向公众的REST应用程序，供客户访问。 在尝试为其开发安全性时，我研究了AWS如何使用访问密钥和密钥在发送到AWS服务器之前对其进行签名处理其REST身份验证。 所以我编写了一个用Jersey，JSP和javascript（jsonp）来测试的例子，它似乎工作正常。

1.）在页面加载时，JSP获取客户端的访问密钥和日期/时间（转换为EPOCH）并写入页面。 它还需要这两条信息，并通过HMAC-SHA1将它们与客户端的唯一密钥组合在一起。

2.）当我执行JQuery ajax请求时，我传递了所有三条信息。

1. 用户访问密钥
2. 日期/时间（EPOCH）
3. 签名的消息

3.）在Jersey端，我获取访问密钥和日期/时间，并检查数据库中的用户密钥。 然后，我执行自己的HMAC-SHA1签名，并将其与用户提交的签名消息中的签名消息进行比较。 如果匹配，则允许他们使用我们的Web服务。 我还检查日期/时间，只接受过去15分钟内签名的邮件。

我的问题是，这足够安全吗？

Answer 1

这不是一个完整的答案，但我还没有意见，只是评论。 我会在服务器端为您的安全添加一个盐。 有关使用主密钥和盐进行散列的详细讨论，请参阅此文章 。