API安全性-共有TLS与共享机密TLS的比较。

Question

当设置业务到业务API集成的安全性时。我们正在讨论2种选择

• 带IP滤波的互TLS
• 具有共享秘密和IP过滤的TLS。

哪一种方法更安全，是什么导致了潜在的不同？

我的理解是，无论哪种方式，初始连接都可以保护数据，然后是共享的秘密，或者第二个证书确认身份(在一定程度上)。

无论哪种方式都有潜在的好处吗？似乎相互TLS的实施更具挑战性。我所能想到的唯一好处是，证书可能过期并被撤销。

我在试着理解潜在攻击的区别。

Answer 1

两者都是安全的，所以潜在的攻击不是这里的主要问题。

区别在于身份管理和密钥管理。

使用PSK (预共享密钥)，您只获得客户端的密钥ID，而不是具有X.500属性的证书(如公共名称)。因此，要标识身份，需要将已经知道的信息链接到密钥ID。

使用PSK，客户端和服务器之间共享一个秘密密钥。但是，如果有多个客户机或多个服务器，那么您需要在许多实体之间共享密钥。有了证书--或者说，使用证书创建的公钥基础设施(PKI或PKIX) --每个实体只需要拥有一个秘密(或者更确切地说是私有)密钥。如果公钥是证书链中的证书的一部分，则可以信任它，因此也不需要分发公钥。

正如您已经指出的，证书还有许多其他的密钥管理选项。

使用证书的一个缺点是，服务器证书通常需要包含服务器名称，并且连接不能在不同命名的主机上建立。

对于业务到业务，我肯定会使用证书进行客户机/服务器身份验证。这是最常见和最灵活的选择。确保只信任所需的证书(而不是默认信任存储所信任的所有证书)。