Web 服务中的 SOAP 消息加密
我想知道 SOAP 消息是如何实现消息机密性的。 我的项目使用IBM Websphere。在交换的SOAP消息中，还有
<wsse:KeyIdentifier>xxxx</wsse:KeyIdentifier>
：
<EncryptionMethod Algorithm="yyyy"></EncryptionMethod>
<CipherData>
<CipherValue>zzzzzzzzzzz</CipherValue>
</CipherData>
我的疑问是第三方是否不能使用Key解密密文？
如果不是，该消息的接收者如何能够使用 SOAP 消息中的可用信息来解密该消息？
或者是否需要为此进行任何初始交换证书？
谢谢
I would like to know how message confidentiality is achieved for SOAP messages.
My project uses IBM Websphere.In SOAP messages exchanged, there is
<wsse:KeyIdentifier>xxxx</wsse:KeyIdentifier>
It also has:
<EncryptionMethod Algorithm="yyyy"></EncryptionMethod>
<CipherData>
<CipherValue>zzzzzzzzzzz</CipherValue>
</CipherData>
My doubt is whether can't a third party decrypt the cipher text using the Key ?
If not how the receiver of this message is able to decrypt the message with the information available in the SOAP message?
Or is there any initial exchange of certificates required for this?
Thanks
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
是的，您需要首先为此设置 PKI 基础设施。密钥标识符就是从密钥存储中选择某些私钥的标识符 - 它当然不是密钥本身。
请确保以安全的方式处理该字段的内容，因为攻击者也可能会更改该值。我自己的实现默默地忽略了该字段，因为密钥已提前设置。
Yes, you need to first set up a PKI infrastructure for this. The key identifier is just that, an identifier to select some private key from your key store - it is certainly not the key itself.
Please make sure handle the contents of that field in a secure fashion, since an attacker may change the value as well. My own implementation silently ignores the field since the key has been set in advance.