客户端和服务器端之间的兼容加密库(JavaScript、->、C#或Java)

Question

有时HTTPS是不够的。特别是当我们讨论保护用户数据免受具有winsock32级别访问权限的特洛伊木马程序的攻击时，木马程序可以嗅探纯文本中的https或BHOs对象，这些对象已经可以访问浏览器内存中已解密的发布数据。

在这个场景中，我开发了一个JavaScript ->经典的ASP客户端服务器例程，在这个例程中，JavaScript对asp接收和解密的数据进行加密和发送。它工作得非常好。

这个解决方案是用PHP构建的，它在JavaScript和xICE之间提供了良好的兼容性。但是现在我正在迁移到ASP.NET或Java，并且XICE中没有适用于这些环境的端口。

有什么建议吗？

Answer 1

根据JavaScript库的不同，移植到C#可能非常容易，不过您可能希望遍历并重构它。学习一门语言的最好方法之一就是向它移植一个库。除此之外，在JS中有很多针对AES和其他的实现。其中许多都针对ActionScript和JavaScript进行了优化(与EcmaScript本身有一些细微的区别)。

Answer 2

我从来没有听说过xICE，所以我试图搜索更多的信息。我找到的只是该公司发布的信息，以及一篇关于一种名为"ICE“的算法的文章，这篇文章没有明确的关联。我找不到关于xICE使用的算法的信息。我发现的信息是4到5年前的。

所有这些迹象都与“蛇油”密码学相一致。您不太可能找到任何声誉良好的其他平台兼容库的提供商。

我建议使用众所周知的算法，比如AES。支持客户端加密的免费JavaScript实现是可用的。就我个人而言，我喜欢"JavaScrypt"的透明性(以及它的作者的信条)，但还有其他可能更快的实现。

像这样的解决方案提供了更好的加密技术，并更容易与其他平台集成--免费。

Answer 3

从本质上讲，SSL 已经足够了。或者说，尽你所能做到最好。

客户端可以看到的任何内容，无论是通过JavaScript还是其他方式，都可以通过特洛伊木马程序等在客户端看到。

任何JavaScript加密都是由模糊性决定的。