1.RSA身份验证的隐患 身份验证和密钥协商是TLS的基础功能,要求的前提是合法的服务器掌握着对应的私钥.但RSA算法无法确保服务器身份的合法性,因为公钥并不包含服务器的信息,存在安全隐患:    客户端C和服务器S进行通信,中间节点M截获了二者的通信;    节点M自己计算产生一对公钥pub_M和私钥pri_M;    C向S请求公钥时,M把自己的公钥pub_M发给了C;    C使用公钥 pub_M加密的数据能够被M解密,因为M掌握对应的私钥pri_M,而 C无法根据公钥信息判断服务器的身份

一.HTTPS 协议 HTTPS协议其实就是HTTP over TSL,TSL(Transport Layer Security) 传输层安全协议是https协议的核心. TSL可以理解为SSL (Secure Socket Layer)安全套接字层的后续版本. TSL握手协议如下图所示 (注:图片来源于google图片) 在建立TCP连接后,开始建立TLS连接.下面抓包分析TLS握手过程,抓包图片来源于传输层安全协议抓包分析之SSL/TLS (自己没抓到这么完整的包,只能搬运过来了,摔) (1

Kerberos是一种安全认证协议,意在提供 more secure authentication simplified management of password convenience of single sign on Kerberos的基本结构 Kerberos Client: 申请服务的一方 Kerberized Service: 提供服务的一方 Kerberos KDC: 提供密码管理的认证的一方.Client和service provider都会将自己的私密保存在KDC中.  

写在开头: 本来这篇内容准备写在AFNetworking到底做了什么?(三)中的,但是因为我想在三中完结这个系列,碍于篇幅所限.并且这一块内容独立性比较强,所以单独拎出来,写成一篇. 本文从源码的角度,去分析AFNetworking对https的认证过程.旨在让读者明白我们去做https请求: 如果使用AF,需要做什么. 不使用的话,直接用原生NSUrlSession,又需要做什么. 当我们使用自签证书的https,又需要注意哪些问题. 单独看并不影响阅读.如果有需要了解更多AF相关内容,可以关

写在开头: 本来这篇内容准备写在AFNetworking到底做了什么?(三)中的,但是因为我想在三中完结这个系列,碍于篇幅所限.并且这一块内容独立性比较强,所以单独拎出来,写成一篇. 本文从源码的角度,去分析AFNetworking对https的认证过程.旨在让读者明白我们去做https请求: 如果使用AF,需要做什么. 不使用的话,直接用原生NSUrlSession,又需要做什么. 当我们使用自签证书的https,又需要注意哪些问题. 单独看并不影响阅读.如果有需要了解更多AF相关内容,可以关

通过官方的介绍可知,若要本地开始部署搭建一个基于.net core 1.0的Web应用,需要下载dotnet SDK,或在Visual Studio IDE之上安装相关插件以布置开发环境.为了使开发环境最小化,选择安装dotnet SDK.下载地址为:http://asp.net 0x00.新建一个Web应用项目 这里不必赘述,到相应目录中运行命令提示符:dotnet new -t web.dotnet会非常人性化的携带自己的例程,如果基于微软提供的例程进行开发的话,会提速不少.但在实际应用中却

1.  SSL基本介绍 我们常常在使用网上银行时看到的连接都是以“https”开始的,那么这个https是什么呢?这其实是表示目前连接使用了SSL进加密,能保证客户端到服务器端的通信都在被保护起来,那么浏览器是如果实现的呢?下面让我们来介绍一下SSL基本的实现方法. 首先我们有两种基本的加解密算法类型:对称加密,非对称加密(公私钥加密),现在介绍一下这两种加密算法的特点: 对称加密:密钥只有一个,加密解密为同一个密码,且加解密速度快,典型的对称加密算法有DES.AES等,示意图如下: 图1 对称

转自:http://www.cocoachina.com/ios/20161220/18393.html 写在开头: 本来这篇内容准备写在AFNetworking到底做了什么?(三)中的,但是因为我想在三中完结这个系列,碍于篇幅所限.并且这一块内容独立性比较强,所以单独拎出来,写成一篇. 本文从源码的角度,去分析AFNetworking对https的认证过程.旨在让读者明白我们去做https请求: 如果使用AF,需要做什么. 不使用的话,直接用原生NSUrlSession,又需要做什么. 当我们

现今,已经有了Oauth2.0,写篇博客了解Oauth1.0的过程以及与2.0的区别. 在Oauth官网  关于1.0的介绍: 一.简介 OAuth authentication is the process in which Users grant access to their Protected Resources without sharing their credentials(证书) with the Consumer. OAuth uses Tokens generated by

本文以腾讯微博为例,详细介绍OAuth2.0的认证过程. 在使用腾讯微博平台提供的API前,您需要做以下两步工作: 成为开发者,并申请appkey和appsecret 授权获取accesstoken Accesstoken是第三方获得用户授权的凭证,是第三方访问api资源的票据.目前,腾讯微博采用Oauth2.0协议对第三方进行授权,相对Oauth1.0来说,Oauth2.0具有更加简单和安全特点. 获取accesstoken的两种方式 用户通过Oauth2.0授权第三方有两种方式: Autho

1. 创建应用 在weibo.com上申请一个应用,获取app key和app secret, 填写redirect uri 2. 获取code 通过在浏览器访问 https://api.weibo.com/oauth2/authorize?client_id=xxxxx&redirect_uri=http%3A%2F%2Fwww.weibo.com&response_type=code&forcelogin=true 其中client_id和redirect_uri是必须的,cl

#### NetworkRequestManager.h #include <QSsl>#include <QSslKey>#include <QSslSocket>#include <QSslConfiguration>#include <QSslCertificate>#include <QSslError>#include <QUrl>#include <QNetworkAccessManager>#in

SSL.TLS协议格式.HTTPS通信过程.RDP SSL通信过程   相关学习资料 http://www.360doc.com/content/10/0602/08/1466362_30787868.shtml http://www.gxu.edu.cn/college/hxhgxy/sec/COURSE/ch13/1.htm http://www.rfc-editor.org/rfc/rfc6101.txt http://3600.1kapp.com/?p=546 http://wiki.m

Wifidog初分析 一.综述 wifidog是搭建无线热点认证系统的解决方案之一,他比nocat.nodog更适合互联网营销思路.常见的使用在openwrt系统上,它实现了路由器和认证服务器的数据交互,在路由器方(客户端)是用C 语言代码,通过wifidog程序和linux iptables防火墙实现接入用户的认证跳转和控制.在认证服务器方(服务端)是通过php(还有java版本的)实现用户的认证流程和管理. 优点:有开源代码,可以很方便的搭建认证系统.方便用户进行需求定制. 缺点:通过ipt

起初是因为HTTP在传输数据时使用的是明文(虽然说POST提交的数据时放在报体里看不到的,但是还是可以通过抓包工具窃取到)是不安全的,为了解决这一隐患网景公司推出了SSL安全套接字协议层,SSL是基于HTTP之下TCP之上的一个协议层,是基于HTTP标准并对TCP传输数据时进行加密,所以HPPTS是HTTP+SSL/TCP的简称. 由于HTTPS的推出受到了很多人的欢迎,在SSL更新到3.0时,IETF对SSL3.0进行了标准化,并添加了少数机制(但是几乎和SSL3.0无差异),标准化后的IET

SSL协议 简介 SSL (Secure Sockets Layer 安全套接层)是一个安全协议,它提供使用 TCP/IP 的通信应用程序间的隐私与完整性.因特网的 超文本传输协议 (HTTP)使用 SSL 来实现安全的通信.SSL 协议既用到了公钥加密技术(握手)又用到了对称加密技术(传输数据).在客户端与服务器间传输的数据是通过使用对称算法(如 DES 或 RC4)进行加密的.公用密钥算法(通常为 RSA)是用来获得加密密钥交换和数字签名的,此算法使用服务器的SSL数字证书中的公用密钥.有了

Spring Security 解析(二) -- 认证过程   在学习Spring Cloud 时,遇到了授权服务oauth 相关内容时,总是一知半解,因此决定先把Spring Security .Spring Security Oauth2 等权限.认证相关的内容.原理及设计学习并整理一遍.本系列文章就是在学习的过程中加强印象和理解所撰写的,如有侵权请告知. 项目环境: JDK1.8 Spring boot 2.x Spring Security 5.x 一.@EnableGlobalAuth

NTLM简介: NTLM使用在Windows NT和Windows 2000 Server(or later)工作组环境中(Kerberos用在域模式下).在AD域环境中,如果需要认证Windows NT系统,也必须采用NTLM.较之Kerberos,基于NTLM的认证过程要简单很多.NTLM采用一种质询/应答(Challenge/Response)消息交换模式. NTLM协议的认证, 包括 NTLMv1 和 NTLMv2 两个版本. 涉及到NTLM的认证全过程,以及NTLM 的 EPA(Ext

  先粘出登录的代码 1. 可以看到已经获取到了username和password ,为了接下来的认证过程,我们需要获取subject对象,也就是代表当前登录用户,并且要将username和password两个变量设置到UsernamePasswordToken对象的token中, 调用SecurityUtils.getSubject().login(token)方法,将 token传入 接下来看看login方法的实现: 主要还是用到了securityManager安全管理器 进入securit

HTTPS连接建立过程(单向&双向) 什么是https SSL(Secure Sockets Layer 安全套接字协议),及其继任者传输层安全(Transport Layer Security,TLS)是为网络通信提供安全及数据完整性的一种安全协议.TLS与SSL在传输层(如TCP)与应用层(如HTTP)之间对网络连接进行加密. HTTPS (全称:Hyper Text Transfer Protocol over SecureSocket Layer),是以安全为目标的 HTTP 通道,在H

3.1.1    示例 Shiro验证Subjects 的过程中,可以分解成三个不同的步骤: 1. 收集Subjects 提交的Principals(身份)和Credentials(凭证): 2. 提交Principals(身份)和Credentials(凭证)进行身份验证: 3. 如果提交成功,则允许访问,否则重新进行身份验证或者阻止访问. 收集身份/凭据信息  //Example using most common scenario of username/password pair: Us