API安全性問題：SSL或更多？

Question

我正在開發Web應用程序的API。 桌面客戶端將使用簡單的HTTP帖子（REST）與API進行交互。 我將使用SSL，對此毫無疑問。 我的問題是：在通過SSL發送數據之前，我還應該對數據進行加密嗎？ 發送的信息可能包含機密信息。 SSL是否足夠？還是我應該做更多的事情？ 我唯一需要添加其他安全層的問題是，這將使人們與API的交互變得更加困難。 任何對此的想法將不勝感激。

Answer 1

不，SSL可以提供強大的加密功能。 只要確保您強制客戶端使用HTTPS，並且如果您真的很偏執，請檢查密碼是否足夠強大。

您想要第二次加密的唯一原因是，如果您的Web應用程序將數據直接傳遞到其他系統上。 在這種情況下，您可以使Web應用程序不了解實際數據，並在客戶端和最終目標之間提供端到端加密。

Answer 2

如果您信任自己的證書頒發機構，那么您的客戶就會信任，並且您的密鑰足夠安全（RSA 2048一段時間內不會斷裂），則SSL完全沒有問題。 SSL之前不需要加密數據，因為SSL本身提供了加密。

如果要在Internet上使用此API，則此處的證書頒發機構列表將對您選擇一個有用。

您還可以讓客戶端使用SSL客戶端證書通過SSL進行身份驗證。

Answer 3

恕我直言，我不會在已經存在的加密之上添加另一層加密。 如您所說，這將增加API的開銷和復雜性。 SSL的存在是為了在兩個節點之間發送安全數據，那么為什么要重新發明輪子？

Answer 4

正如Shtééf所指出的那樣，如果您需要端到端加密而不是點對點加密，則需要加密。 其他情況可能與您的客戶端應用程序通過集成服務和服務總線與服務器進行通信有關。 在這種情況下，當消息在中間節點中時，不會強制執行SSL加密，並且該節點可以對未加密的機密數據執行任何所需的操作。

此外，如果您的客戶端使用這些集成服務，則它們可能不會在客戶端和集成服務之間強制實施SSL連接。

因此，在處理高度機密的信息時，我傾向於使用端到端安全性，而不是使用SSL加密的通信通道。

Answer 5

是。 SSL將有助於中間人和竊聽，但還有其他攻擊SSL不會對重放攻擊有所幫助。