即便第三者知道报文格式, 通过公钥仿制一个报文请求系统, 这种情况也不是RSA的问题. RSA还是很好的保护了通信者之间的信息. 第三方如无密钥, 无法得知通信内容. 签名只是对RSA的活用,相当于对密文的再次加密. 要解决这种欺骗问题, 还可以通过诸如约定token来实现. 因为通信内容不可被第三方获取, 故可在报文中加入身份验证信息token来实现防骗.
标签：内容 报文结构 数据 ken 三方 目的 场景 修改 指定
"1、如果是私钥加密，公钥解密的话，因为公钥是公开出来的，所以拿到公钥的人 ，是可以解密报文的，我认为这种加密方式没意义。"
你理解有误. 这种场景是用作签名的, 就是校验信息发送者身份. 只有通过特定私钥的的信息才能被公开出来的公钥解密. 这就唯一确定了信息发送者, 达到签名(不可抵赖)的目的.
"2、如果是公钥加密，私钥解密的话，因为公钥是公开出来的，所以系统是无法识别请求就是指定系统发送的，也就是别人是可以模拟你的报文，请求你的系统。"
这种场景是做信息加密用. 发送者A通过公钥加密信息, 只有持有私钥的人C才能解密. 保证了被发送的信息不会被第三方知晓. 而B通过模拟报文的攻击方式并不是修改了A的信息, 而是B"假扮"A向系统发信息. 这种情况并不是A的密文被破解, 而是B在欺骗C, 所以不属于RSA算法漏洞.
同时, 要预防这类欺骗只需利用场景1的方式, 由A使用另外一套RSA密钥对信息签名即可. 此时B即使知晓了A要发送的原文, 由于没有A的密钥 C也无法使用公钥解密出数据. 达到了既不可篡改, 又不可抵赖的目的.
3.如果我知道你的报文结构，因为公钥是公开的，我可以使用公钥加密模拟报文请求你的系统，并不是说要篡改数据
所以需要签名啊. 使用场景1 的方式签名就可以防止这种欺骗了. 一共有两套密钥. 第一套做签名, 第二套做加密. 这样无论第三者是否知道报文格式, 都无法欺骗到系统了.
标签：内容 报文结构 数据 ken 三方 目的 场景 修改 指定
原文地址：https://www.cnblogs.com/makai/p/11231081.html
