Шифрование сообщений между мобильными телефонами и моим сервером (сценарии php) - PullRequest
0 голосов
/ 25 ноября 2011

Я написал приложения, которые работают на iPhone и Android. Они делают вызовы (HTTP POST-запросы) к сценарию PHP на моем сервере Ubuntu, который получает запросы от сервера MySQL и т. Д.

По сути, я хочу зашифровать эти сообщения, возвращаясь туда и обратно. У меня есть дополнительное ограничение на общий хостинг, и поэтому у меня нет root-доступа (или sudoer) на моем сервере.

Каков наилучший способ реализовать это? Я не хочу что-то, где я должен платить Verisign за сертификат (я очень мало знаю о безопасности). Я думаю, что это каким-то образом будет включать в себя схему открытого / закрытого ключа, но я не уверен, что является лучшим методом для этого.

есть мысли? Благодарю.

1 Ответ

2 голосов
/ 25 ноября 2011

Если вы находитесь на сервере с общим хостингом, то, вероятно, будет сложно (и, в зависимости от настроек провайдера, невозможно) защитить ваши ключи от других пользователей. Плюс, заново изобретать колесо шифрования, как правило, плохая идея. Поэтому я бы не пошел по этому пути, особенно если вы не разбираетесь в безопасности.

Самое простое решение - использовать SSL. Если вы действительно не хотите получать сертификат от Verisign (или Comodo или кого-либо еще), используйте SSL-сертификат вашего провайдера по умолчанию. Если они настроены так, что ваш SSL-сервер будет использовать сертификат для https://www.YourHostingProvider.com/,, тогда вы сможете выполнить эту работу, возможно, с небольшим количеством домашней работы. (MediaTemple настроен таким образом, где вы получаете их сертификат, если у вас его нет. Не уверен насчет других хостинг-провайдеров.)

Постарайтесь узнать о повышенных рисках, связанных с этим, по дешевке. Например, в зависимости от настройки, возможно, что кто-либо другой в службе общего хостинга может выдать себя за ваш сайт, если он достаточно квалифицирован и определен, так как он может иметь доступ к тому же секретному ключу SSL, который вы используете.

Если вы получаете высокие результаты игры или что-то в этом роде, это, вероятно, будет хорошо. Если вы защищаете номера кредитных карт или личную медицинскую информацию людей, это определенно не способ. Вы не хотите хранить такую ​​информацию в службе общего хостинга, и вы определенно не хотите, чтобы ресурсы были настолько истощены, что вы не хотели бы покупать сертификат SSL.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...