面试官：如何保证用户模块的数据安全？说说你的解决方案！

Posted 2022-05-19 Java技术栈

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了面试官：如何保证用户模块的数据安全？说说你的解决方案！相关的知识，希望对你有一定的参考价值。

点击关注公众号，Java干货及时送达

作者：何甜甜在吗　
链接：https://juejin.cn/post/6916150628955717646

写在前面

在介绍具体方案之前，首先先介绍一下常见的加密算法。加密算法可以分为三大类：

对称加密算法
非对称加密算法
Hash算法

对称加密算法

加密和解密使用相同的密钥。对称加密算法加密解密速度快，但安全性较差常见的对称加密算法：DES、3DES、DESX、Blowfish、IDEA、RC4、RC5、RC6和AES

非对称加密算法

加密和解密使用不同的密钥，也称为公私钥加密。非对称加密的缺点是加解密速度要远远慢于对称加密，在某些极端情况下，甚至能比非对称加密慢上1000倍。但安全性比对称加密算法高常见的非对称加密算法：RSA、ECC（移动设备用）、Diffie-Hellman、El Gamal、DSA（数字签名用）

Hash算法

Hash算法特别的地方在于它是一种单向算法，用户可以通过Hash算法对目标信息生成一段特定长度的唯一的Hash值，却不能通过这个Hash值重新获得目标信息。Hash算法常用在不可还原的密码存储、信息完整性校验等常见的Hash算法：MD2、MD4、MD5、HAVAL、SHA、SHA-1、HMAC、HMAC-MD5、HMAC-SHA1

如何选择加密算法实现加密功能

admin账号激活

admin账户必须对密码进行解密所以只可以在对称加密和非对称加密算法。因此admin账号激活采用RSA加密算法和AES128加密算法，由Web端管理公钥和私钥，具体步骤如下：

说明：数据入库加密的密钥和对随机字符串加密的密钥不相同

时序图如下：

是不是觉得过程有点过于复杂，由server端管理公钥和私钥，web端获取公钥并对密码加密发送给server端，server端在使用私钥解密密码这样也没毛病啊

小心中间人攻击

什么是中间人攻击，中间人攻击(Man-in-the-MiddleAttack，简称“MITM攻击”)是指攻击者与通讯的两端分别创建独立的联系，并交换其所收到的数据，使通讯的两端认为他们正在通过一个私密的连接与对方直接对话，但事实上整个会话都被攻击者完全控制。

点击关注公众号，Java干货及时送达

在中间人攻击中，攻击者可以拦截通讯双方的通话并插入新的内容。中间人攻击是一个(缺乏)相互认证的攻击。大多数的加密协议都专门加入了一些特殊的认证方法以阻止中间人攻击。例如，SSL协议可以验证参与通讯的一方或双方使用的证书是否是由权威的受信任的数字证书认证机构颁发，并且能执行双向身份认证中间人攻击过程如下：