这是保护数据源的明智方法吗？

Question

我一直在考虑一种方法来保护我的数据源（json 字符串）免受第三方应用程序和网站使用它的影响。

所以我想出了一种保护它的方法，但我有点好奇我的保护效果有多好。

客户端

int passcode, int dateint
passcode = 15987456 //random static code
dateint = 20112805 // todays date all stuck together

return (((Integer.parseint(passcode + "" + dateint) * 9)/2)*15)/3  // stick the 2 numbers together and do random math on it.

服务器端 php 的

$passcode = 15987456 //random static code
$key = $_POST['key'];
$key = ((($key  / 9) * 2) / 15) * 3; // reverse the random math
if(substr($key, 0, strlen($passcode)) === $passcode){
    $dateyear = substr($key, strlen($passcode), 4);
    $datemonth = substr($key, strlen($passcode)+4, 2);
    $dateday = substr($key, strlen($passcode)+6, 2);
    if(!($dateyear === date(Y) && $datemonth === date(m) && $datedate === date(d))){
       die("access denied");
    }
}

最终可以从另一个页面获取随机静态密码，然后它可以是动态的......

不要介意语法/编码错误。只是在我的脑海里写下了这个。

Answer 1

密码学的首要规则之一是始终使用现有标准。如果您尝试自己制作，那么它会很弱。使用客户的公钥或 Diffie Hellman 在客户站点建立密钥。

Answer 2

如果您的应用程序（使用提要）位于攻击者的计算机上，因此在攻击者的控制下运行，则实际上无法获得您的应用程序可以读取但攻击者无法读取的数据。

您可以通过加密数据来使其变得更加困难，但加密密钥位于程序中。有一些方法可以保护密钥（这称为白盒加密，请查看白盒有关详细信息，请访问 crypto.stackexchange.com 标签）。尽管如此，攻击者仍然可以简单地执行程序中解密数据的部分。

这里您确实需要一些特定于用户的密钥（您和用户之间共享的密钥，或者用户的私钥，您使用相应的公钥来加密数据）。

Answer 3

我看到三个直接问题：

• 我知道您的代码只是一个示例，但您的随机数学不是很随机：x*9/2*15/3 == x*22.5。如果有人想打破这一点，他们就会这么做。使用真正的加密算法（例如 md5 或 sha）会更安全。
• 在算法中使用今天的日期不太可靠：客户端可能在世界的另一端，那里已经是明天或仍然是昨天，或者客户端计算机的时钟可能只是正常。
• 最后，如果被授权使用数据源的站点是公共站点，则任何人都可以查看 JavaScript 代码并检查保护算法是什么，即使是最（否则）安全的算法也毫无用处。

这是一个示例，说明了为什么密钥很容易被破解。如果您连续几天运行该算法，您会得到：

20110905:  2235971776452495360
20110906:  2235971776452495388
20110907:  2235971776452495410
20110908:  2235971776452495428
20110909:  2235971776452495452

今天和明天之间的差异是 28，明天和后天之间是 22，然后是 18，然后是 24...那里有一个清晰的模式，您不需要在看到代码之前观察它很长时间。恶意方只需尝试几个与模式匹配的数字即可很快找到正确的数字。