我必须将用户名和密码从我的 iphone 应用程序发送到 ASP 服务器页面，然后我将使用：http://iphonedevelopment.blogspot.com/2009/02/strong-encryption-for-cocoa-cocoa-touch.html 对其进行加密。在 ASP 页面上解密这些字符串的最佳方法是什么？我找到了一些示例，但是由于加密将发生在两个完全不相关的方面，我认为我需要在双方都对密钥进行硬编码，并且我找不到任何没有使用生成密钥的示例。
谢谢！
【问题讨论】：
标签： asp.net ios encryption key
是的，密钥管理是个大问题。您必须在两边都有密钥，在 iOS 上，您可以将密钥保存在 Keychain 中，这是安全的，但安全获取密钥的过程更加困难。
另一个主要问题是让两边的所有参数都相同。特别感兴趣的是
【讨论】：
为什么不使用 SHA1 将密码存储在数据库中，然后使用 HMAC 和客户端指定的密钥进行通信？
让服务器生成一个随机密钥并将其与登录请求一起发送。客户端计算密码的 SHA1 哈希，然后使用服务器指定的密钥计算密码的 HMAC SHA1 哈希。然后服务器验证结果是否正确。
在客户端：
// password is the plaintext password
// keyb64 is a random key specified by the server, encoded in base64.
string ComputeSecureHash(string password, string keyb64)
{
byte[] data = Encoding.UTF8.GetBytes(password);
byte[] key = Convert.FromBase64String(keyb64);
byte[] hash;
byte[] machash;
// compute a plain SHA1 hash of the specified data
using (SHA1Managed sha1 = new SHA1Managed())
{
hash = sha1.ComputeHash(data);
}
// now compute a HMAC hash of that hash, using the random key.
using (HMACSHA1 sha1mac = new HMACSHA1(key))
{
machash = sha1mac.ComputeHash(hash);
}
return Convert.ToBase64String(machash);
}
在服务器端：
// hash is the string produced by the function above
// realHash is the SHA1 hash of the real password, which you've fetched from the db
// key is the key you generated for this login session
bool VerifyHash(string hash, byte[] realHash, byte[] key)
{
byte[] machash;
using (HMACSHA1 sha1mac = new HMACSHA1(key))
{
machash = sha1mac.ComputeHash(realHash);
}
return (Convert.ToBase64String(machash) == hash);
}
这允许您通过纯文本媒体进行身份验证，而无需破解密码。
【讨论】：