即使开发人员访问，数据加密也很安全

Question

假设您有一个服务器-客户端应用程序。

服务器保留属于客户端的敏感信息。 服务器将在客户端的敏感信息旁边搜索一些参数。 因此，服务器应使用客户端控制暂时解码敏感信息。 但是服务器不应通过自行破解来泄露密钥。 我的意思是开发人员不应尝试更改服务器sidde代码，也不应提取客户端密钥。

真的有办法吗？ 某些客户端允许服务器解码敏感信息，但是密钥立即消失并且开发人员没有任何技巧可以泄露此密码？

答案（如果存在）对于理想的安全云应用程序也有效。 开发人员或云托管公司不应访问解密的信息。

我并不乐观，但是值得一试。

Answer 1

因此，没有。 这不会授予任何安全性，因为您无法信任客户端。 您甚至声称服务器将由客户端临时控制，这通常不是明智的方法。 另外，不要小看无聊的开发人员，编写一些代码并破解密钥是完全可行的。 这里的关键是要记住，如果有人可以访问该框，那么它就不再是您的框。

Answer 2

通常，任何客户端访问服务器上的敏感信息都必须要求客户端进行身份验证，以便您可以验证客户端是否正是他声称自己的身份。 认证通常涉及发送密码或某种认证令牌（例如，加密的共享机密），该密码或认证令牌（例如，加密的共享密钥）由服务器通过安全通道提供给客户端。

就像许多次已经说过的那样，在没有适当而足够的身份验证的情况下允许客户端访问服务器数据的方式意味着您放弃了对服务器的控制。