什么是提供 API 服务且不会产生大量通信开销的安全方法？

Question

几天前我参加了一次面试，雇主问我如何安全地提供 API 服务。他说

1. 每个 API 请求都需要 API 密钥。
2. 每个 API 请求将请求 1 个单一方法，该方法采用单一参数，并且每个服务都将通过该单一方法进行工作。

他想看看是否有一种安全的方法可以让客户端在不暴露 API 密钥的情况下向服务器端发出 API 请求。

我谈到了通用公共/私有密码学，但他想要比这更简单的方法。

最后，他谈到使用常见的哈希算法（md5，sha1）让客户端安全地哈希其密钥，并哈希带有参数和向服务器请求的方法，但我认为我没有很好地理解这一点。

我记得有些库首先对 API 请求的主体进行编码，然后使用 md5 或 sha1 进行加密。但是用单向哈希来做这件事有什么意义呢？中间人可能不知道API密钥，但是服务器如何知道1.API密钥，2.客户端请求了什么方法？

Answer 1

您可以将请求与 API 密钥一起进行哈希处理。然后将哈希添加到请求中。

这样，哈希值就不会通过网络传输。服务器可以通过自己的 API 密钥副本进行验证。

---

例如，客户端执行：

var request = "http://example.com/bla?a=1&b=2";
var hash = sha1(request + ApiKey).ToHex();
var request-with-hash = request +"&key="+hash;

并且服务器执行：

var receivedRequest = "http://example.com/bla?a=1&b=2&key=ABC...09"
var key=extractKey(receivedRequest); // ABC...09
var strippedRequest = stripKeyFromRequest(receivedRequest);
var hash = sha1(strippedRequest + ApiKey).ToHex();
if(hash!=key)
  Error("ApiKeyWrong")

---

请注意，这仍然面临至少两个问题：

1. 重放攻击。通过使用更好的协议和某种随机数可以避免这种情况。
2. API 密钥可以简单地从客户端提取，除非它在安全系统上运行。这是一个根本性的问题，无法回避。不受信任的系统上的 ApiKey 并不安全。