非対称キーとシンメトリックキーストレージ

Question

私はajaxポータルで作業しています。私のクライアントはそれをかなり安全にしたいと思っていますが、SSLに対処したくありません。保存する超機密データはありませんので、ページが初期化されるときにカスタムの "ハンドシェイク"を行います。

セッションごとに、私は非対称キーと対称キーの2つの新しいセットを扱っているので、これらのキーをどのように扱うかを知りたいと思います。これはおそらく共有ホスト上に存在することになり、その場合はセッションファイルが本当に信頼できないものがどこからでも読み込まれています...

私はセッションファイルにいくつかの情報を右のキーは、データベースにあります。 （うーん、私は思う:)）...今は、ユーザーセッションが終了したときにデータベースからキーを削除したいので、無駄なキーでいっぱいになったテーブルで終わることはありません。

私がそれが悪いと分かっていたとしても、ウィンドウ/ブラウザを閉じるときに、私はajaxコールを試しました...これは本当に悪くて矛盾しているので、このオプションは間違いです。私は、SSLハンドルをどうするか思ったんだけど：

は、私の質問は...私はまた、より多くの日のカップルよりも、すべてのキーデートを消去するためにcronジョブについて考え、それは一種の私には「未完」と感じますその鍵？ユーザーセッションが終了している間、それらはどこに保存されますか？これをどうやって対処するのですか？

EDIT

うん、私はこの質問がそれにつながることが知られている必要があります。

私はsslが最良の選択肢であり、自分のアプリケーションをコーディングしていることは残念です。私はそれについて私のクライアントにもう少し話しますが、私はほとんど希望がありません。もし彼がまだhttpに行きたいと思うなら、私は自分のポイントをprooveするために契約を失うことはないでしょう。私はその無差別なデータを保護するための代替手段を用意しています（ログイン情報、クレジットカードなし...）。

システムが完全に安全でないため、「かなり安全です」は適切です。 「かなり安全」とは、wiresharkをダウンロードしたばかりのハッカーが、中間の攻撃をしている人をするためにYouTubeでビデオを見たことができないことを意味します。最近いくつかのティーンエイジャーが恥をかかせている数十億のゲーム企業。

正しい答えは、私の質問の一部に答えたナスコに行き、明らかに推薦しました。

Answer 1

SSLは完了するハンドシェイクごとに対称キーを生成し、メモリに保存します（セッションキャッシュがディスクに書き込まれていない場合）。

あなたが間違いを犯すので、あなた自身の暗号プロトコルをやってはいけないと言いました。最高の暗号人が間違いを犯すので、それをやるために誰かにそれをすることはお勧めできません。

クライアントがSSLで認識している問題点を解明し、それに対処してください。このようにして、実績のある標準的なテクノロジを使用して、顧客は最終的に満足しています。

Answer 2

「セキュア」はバイナリ状態です。 「かなり」安全なものはありません。

SSLのように安価で効果的なものを実装することを希望するのは、ほぼゼロです。気にしないでください。クライアントが米国防総省でない限り、彼はとにかく余裕がありません。