腾讯云上的Elasticsearch service已经开始为我们提供基于HTTPS协议访问的Elasticsearch集群了；Elastic Cloud的Elasticsearch服务则一直都是默认使用的HTTPS安全协议。而我们自建的Elasticsearch集群，从8.0版本开始，也默认地简化了安全功能，为用户自动配置：用户认证、基于角色的访问控制进行用户授权、使用 TLS 加密的节点到节点通信、使用 HTTPS 与 Elasticsearch API 进行加密通信。
JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间以json数据格式安全的传输信息。
为什么要做Cookie防篡改，一个重要原因是 Cookie中存储有判断当前登陆用户会话信息（Session）的会话票据-SessionID和一些用户信息。 当发起一个HTTP请求，HTTP请求头会带上Cookie，Cookie里面就包含有SessionID。 后端服务根据SessionID，去获取当前的会话信息。如果会话信息存在，则代表该请求的用户已经登陆。 服务器根据登陆用户的权限，返回请求的数据到浏览器端。
科技发达以后，我们开始了全新的密码人生。 手机解锁、帐号登录、支付结算都要设置密码，每次输入十分繁琐，忘了密码更是尴尬。于是，生物识别技术应运而生——一枚指纹，一秒钟，一切解锁。 可是，指纹解锁的刹那，到底发生了什么，能让机器准确快速地辨认出你呢？ 这里有一个小世界 为了让每一个有需求的APP都能够安全快速地使用指纹认证，腾讯特意搭了一座天桥供大家通用——SOTER。 什么是SOTER TENCENT SOTER是微信团队推出的一套安全、通用、完整的指纹认证方案，Android手机上的微信支付底层指纹
Kerberos域网络中，默认NTLM协议是主要的替代认证协议，几乎伴随着Kerberos协议，NTLM协议的安全性会对域网络产生重要的冲击，所以我们单独成立一个独立的章节介绍与NTLM协议相关的漏洞和攻击手段。
你有没有发现支付宝、银行、淘宝、华为pay等等都是使用指纹支付，为什么指纹验证、面容验证通过它就能通过呢？本篇来说说背后的原理。
总的来说，申请CA证书是一个比较复杂的过程，需要仔细准备和填写相关信息，并确保按照CA的要求进行操作和支付费用。
本文最初发布于 paepper.com 网站，经原作者授权由 InfoQ 中文站翻译并分享。
为了解决传统的可见密码验证存在各种安全性以及便捷性的弊端，随着Android M（Android 6.0）提供了官方的指纹接口以及针对指纹的增强版本密钥管理机制，微信组织一些手机厂商、芯片设计厂商、TEE厂商制定了一个通用的、安全的以及便捷的生物认证识别平台方案SOTER。有了此方案，我们就能实现Android手机上的指纹支付（目前只支持微信指纹支付）。 认证方案最重要的是服务器和客户端之间的密钥体系和认证流程，那么我们今天就来聊聊SOTER方案的密钥体系，后续再详细聊聊认证流程。 在服务器与客户端的通讯过
前言 昨天内容里面有些笔误，所以重新发下，大家见谅。 对了，由于公众号没有留言，所以希望大家发现错误还是通过微信或者微信群告诉我一下，感谢各位老铁?。 关于HTTPS的连接过程，也是老生常谈的话题了。
之前看过很多https相关内容，感觉都是有个大概印象。趁着刚阅读《http权威指南》后，发表一下自己的理解。如果我有讲的不对的地方，麻烦大家帮我指点出来，阿里嘎多～其实我也不知道从哪里开始讲起，咱走一步算一步吧哈哈哈哈哈哈。
数字证书是一个由可信的第三方发出的，用来证明公钥拥有者的信息以公钥的电子文件。
接口的安全性主要围绕 Token、Timestamp 和 Sign 三个机制展开设计，保证接口的数据不会被篡改和重复调用，下面具体来看：
用户使用用户名密码登录后服务器给客户端返回一个 Token(通常是 UUID)，并将 Token-UserId 以键值对的形式存放在缓存服务器中。服务端接收到请求后进行 Token 验证，如果 Token 不存在，说明请求无效。Token 是客户端访问服务端的凭证。
生成签名（signature） 旨在确保请求的完整性、防止篡改和重放攻击。签名的生成主要通过参数排序、拼接和哈希算法来实现。
通过在nginx或者代码中写死token，或者通过在限制外网访问的方式已来达到安全授权的方式
大家早安，这个周末，红黄蓝继续在让人不安与愤怒，北京的大清理让人深思！安智客继续来聊技术、行业！我们今天来详细了解下IFAA标准！ IFAA有四个流程，注册、认证、注销、查询 今天我们来说说注册和认证
今天学习网络通信，看到使用ssl(Secure Sockets Layer)进行加密，由于对ssl只是有些概念上的了解，对于具体应用原理、过程和如何使用不慎了解，于是学习了一番，总结如下：
HTTP是属于应用层的协议，它是基于TCP/IP的，所以它只是规定一些要传输的内容，以及头部信息，然后通过TCP协议进行传输，依靠IP协议进行寻址，通过一幅最简单的图来描述：
昨天一同学问我用token还是session好，我说是没什么区别。于是今天又回头理了一遍JWT（json web token），总算是理解了JWT的意义。
1. 什么是X.509？ X.509标准是ITU-T设计的PKI标准，他是为了解决X.500目录中的身份鉴别和访问控制问题设计的。 2. 数字证书 数字证书的意义在于回答公钥属于谁的问题，以帮助用户安全地获得对方的公开密钥。证书中应对公钥和公钥私有者信息，并由可信任的CA签署，即CA对这些信息进行数字签名。一张数字证书由证书内容、签名算法和算法结果组成。 数字证书的结构如下： 版本号 version 序列号 serialNumber 签名算法 signature 有效日期 vaildity 主体 subje
JSON Web Token（缩写 JWT）是目前最流行的跨域认证解决方案，本文介绍它的原理，用法和详细的数据结构。
https://blog.csdn.net/qq_36119192/article/details/84977902
总之，使用 CA 签发证书可以确保通信的安全性、可靠性和完整性，为网络通信提供了重要的保护和信任基础。
上过网的朋友都知道，网络是非常不安全的。尤其是公共场所很多免费的wifi，或许只是攻击者的一个诱饵。还有大家平时喜欢用的万能钥匙，等等。那我们平时上网可能会存在哪些风险呢？
HTTPS 是在 HTTP 和 TCP 之间建立了一个安全层，HTTP 与 TCP 通信的时候，必须先进过一个安全层，对数据包进行加密，然后将加密后的数据包传送给 TCP，相应的 TCP 必须将数据包解密，才能传给上面的 HTTP。
在为第三方系统提供接口时，关键是确保数据的完整性、安全性和防止重复提交。以下是一个基于API密钥（Access Key/Secret Key）和回调机制的设计方案，具有多层次的安全保障。
首先我们会随机生成x位的随机密钥， 要加密的数据data用该随机密钥去加密，最后将密钥进行Base64位编码，此时的数据才是我们要上传到服务器的敏感数据， 大家都知道AES是一个对称加密算法， 服务器端必须知道密钥才能解密..
在数字安全领域，证书和密钥对（通常指公钥和私钥对）是确保信息安全、身份验证和数据完整性的基础。本文将深入探讨证书和密钥对的概念、它们如何一起工作，以及在实际应用中的用途。
上过网的朋友都知道，网络是非常不安全的。尤其是公共场所很多免费的wifi，或许只是攻击者的一个诱饵。还有大家平时喜欢用的万能钥匙，等等。那我们平时上网可能会存在哪些风险呢？ 1. 泄密，个人隐私、账户密码等信息可能会被盗取。 2. 篡改，收到的数据可能被第三方修改过，或被植入广告等。 3. 假冒，访问的站点非目标服务器站点。如域名欺骗、域名劫持、钓鱼网站等。
你有没有想过，在咖啡厅或类似的公共场合，使用免费 Wi-Fi 多么的傻？你信任店主没有做出什么狡猾的事，并且相信当前正在使用Wi-Fi 热点的人不是坏人？他们不仅能监听你的网络操作，你毕竟是通过无线电波进行广播，而且他们能够篡改你所接收的数据，这是一个无害的更改。但是如果你想通过公共 Wi-Fi，查看你的银行账户呢？想想有很多人都能够读取或更改你的数据，我们肯定不希望发生这种事。
HTTP 是无状态的。也就是说，HTTP 请求方和响应方间无法维护状态，都是一次性的，它不知道前后的请求都发生了什么。但有的场景下，我们需要维护状态。最典型的，一个用户登陆微博，发布、关注、评论，都应是在登录后的用户状态下的。这种情况下，各种鉴权就应运而生了。
https是在http超文本传输协议加入SSL层，它在网络间通信是加密的，所以需要加密证书。
关于什么是公钥和私钥，网上有一篇很经典的文章：http://www.youdzone.com/signature.html
在上一篇文章中，我们给出了一种零知识证明的方法，解决用户身份属性的隐私问题，下面我们再来谈谈基于DID技术，我们都能在什么场景去应用。
随着Web应用程序的出现，直接在客户端上存储用户信息的需求也随之出现。者背后的想象时合法的：与特定用户相关的信息都应该保存在用户的机器上。无论是登录信息、个人偏好、还是其他数据，Web应用程序提供者都需要有办法 将他们保存在客户端。对于这个问题，第一个解决方案就是cookie。
提升编程效率的利器: 解析Google Guava库之集合篇RangeSet范围集合（五）
如果你能准确无误的回答以上问题，你可以不用继续往下面看了，如果不能，通过阅读这篇文章，我相信你肯定能完全掌握HTTPS。好了废话不多说，我们开始。
随着Web应用程序的出现，直接**在客户端上存储用户信息**的需求也随之出现。者背后的想象时合法的：与特定用户相关的信息都应该保存在用户的机器上。无论是登录信息、个人偏好、还是其他数据，Web应用程序提供者都需要有办法 将他们保存在客户端。对于这个问题，第一个解决方案就是cookie。
随着苹果对于企业分发证书的频繁吊销和日益收紧，代签名行业也随之迭代出了黑科技，即所谓的超级签名源码系统。
HTTP 是明文传输，意味着端到端之间的任意节点都知道内容是消息传输内容是啥，这些节点可以是 路由器，代理等。
之前说到HTTPS，在我的概念中就是更安全，需要服务器配置证书，但是到底什么是HTTPS，为什么会更安全，整套流程又是如何实现的，在脑子里没有具体的概念。所以，我花了几天的时间，通过参考一些文章，学习了HTTPS整套机制的实现，想要通过一篇文章把我学习到的东西总结出来，让更多之前不清楚HTTPS到底是什么的同学有一个入门的理解。
我相信大家面试的时候对于 HTTPS 这个问题一定不会陌生，可能你只能简单的说一下与 HTTP 的区别，但是真正的原理是否很清楚呢？他到底如何安全？这一篇让我们用大白话来揭开 HTTPS 的神秘面纱吧！
用户认证是一个在web开发中亘古不变的话题，因为无论是什么系统，什么架构，什么平台，安全性是一个永远也绕不开的问题
本篇博客是我github上our-task：一个完整的清单管理系统的配套教程文档，这是SpringBoot+Vue开发的前后端分离清单管理工具，仿滴答清单。目前已部署在阿里云ECS上，可进行在线预览，随意使用（附详细教程），大家感兴趣的话，欢迎给个star!
就是有两把密钥，一把公钥，一把私钥，用公钥加密的内容必须由私钥进行解密，用私钥加密的内容必须用公钥进行解密
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
