GWT RPC 数据加密和 gwt-crypto 问题

Question

我有一个 GWT 应用，它部署在应用引擎上。该应用程序基本上是一个考试模拟器。所有考试问题和答案都存储在服务器上的 XML 文件中。我使用 JAXB 解析器来解析 XML 文件并通过 GWT RPC 将对象列表发送到客户端。

我注意到在传输过程中（服务器 -> 客户端），整个数据在 Firebug 中以纯文本形式显示。由于数据（考试问题和答案）是我的知识产权 (IP) 并且我非常重视，因此我担心窃取这些数据非常容易。因此，我试图找到一些方法来进行一些基本的加密并在内容从服务器发送到客户端时对其进行混淆。

在谷歌上搜索后，我遇到了 gwt-crypto 项目，几分钟之内，我就可以得到我想要的确切结果。服务器将加密数据，客户端将对其进行解密。在 Firebug 中，它将以加密格式显示数据，而不是纯文本。

但是，我遇到了一个问题。实施加密/解密后，我注意到我的应用程序不会加载到我公司的网络中，这显然受到防火墙的保护。该应用程序可以在家中完美运行，甚至可以在我手机上的 3G 网络上运行。该应用程序的另一个版本不使用加密/解密，可以在我公司的网络中完美运行。我通过创建 2 个完全相同的应用程序版本来确认这一点，唯一的区别是一个布尔标志，它决定加密/解密是启用还是禁用。

我有以下问题：

1. 达到我想要达到的结果的最佳方法是什么？ gwt-crypto 是一个很好的解决方案吗？我可以用任何简单的方法在传输过程中混淆数据。它不一定是复杂的算法。

2. 启用加密/解密的 GWT 应用程序无法在防火墙内运行的可能原因是什么？我真的对此一无所知。

对于这个问题的任何帮助，我将不胜感激。

Answer 1

使用 SSL 是正确的方法。

在您的情况下，鉴于 AppEngine SSL 限制，您应该从非 SSL 域正常加载 HTML，并使用 cross-site RPC 通过 SSL 域加载您的数据。

更新：

What is the best way to achieve the result that I want to achieve?

如果您想保护传输中的数据，那么唯一安全的选项是 SSL/HTTP。通常它也是最简单的一种，因为它不需要您更改应用程序代码，只需更改服务器配置。在您的特定情况下（具有私有域的 appengine），如上所述，它需要更多的工作。

 Is gwt-crypto a good solution for that?

没有。 gwt-crypto 使用密钥加密/解密数据。您还需要一种安全的方式来分发此密钥。

I'm fine with any simple approach to obfuscate the data during transit.

Security through obscurity 不安全。这是一种虚假的安全感，比没有安全感还要危险。只有一个有技术能力的学生能破解这个就足够了，很快每个人都会这样做。

可能的攻击是这样的：

1. 窥探网络，获取用户的用户名/密码。
2. 以该用户身份登录，让浏览器加载考试数据，这些数据现在在内存中未加密。
3. Dump the DOM 并检查它是否有考试问题。

-

What could be the possible reason for a GWT app, with encryption/decryption
enabled, not working inside a firewall?

使用 firebug 确保网络连接相同，但加密内容除外。防火墙不应该工作那么深。与系统管理员交谈。