保護Web應用程序中的公共/私有密鑰對

Question

我的應用程序需要一個公共和私有密鑰對組合，以便創建簽名的URL來從Cloudfront訪問我們的資產。 我遇到的問題是如何保護此密鑰對，以使未經授權的用戶無法簡單地自己下載密鑰對，並在未經我們許可的情況下生成簽名的URL。

我考慮過加密密鑰對，但這似乎沒有用，因為加密密鑰必須存儲在客戶端代碼中，該代碼在Javascript中可見。 我想不出任何其他方法來保護密鑰對免受那些只能使用Chrome開發人員工具的人的攻擊。

有誰知道一種無需在客戶端代碼中存儲密鑰即可保護密鑰對的方法？ 我已經考慮過代碼混淆，但是這種技術似乎很容易解決。 我正在尋找是否還有其他可能。

謝謝。

Answer 1

您不需要保護您的公共密鑰，因為它是公共的。

您需要在服務器上而不是在瀏覽器中簽名URL。

保護私鑰的最安全方法是使用硬件安全模塊，但價格並不便宜。

下一個最佳方法是使用服務器上的訪問控制來保護它。