这个时候,接收者B用发送者A的加密方法a,加密一个有时效的加密方法给A(相当于告诉A,这2个小时,我们用这个暗号进行沟通),因为只有A有解密方法,所以别人获取了也不能知道session key是什么。
A接收到session key了以后,A用这种有时效的加密函数发送重要信息,签名仍用加密方法b加密,B用同样一个加密函数解密(实际上变成了对称加密,大家都用同样的方式加解密)
2小时后,再重复第2步,更新加密方法。
3. 总结(1)当B向A发出临时有效的加密方法之后,通讯的过程变为了对称加密;
(2)这类加密方式的核心是时效性,必须在短时间内更新,否则固定的规律容易被获取破解。
捣局者C可能的情况:
(1)他获取到B发出的session key的加密文件,无法破解session key是什么。因为解密方法在A手上;
(2)通过各种手段,C破解出session key的加解密方法,但因为时效已到,session key更新,C徒劳无功;
(3)C在时效内破解出session key,但无法冒充A的签名。
以上是2种常见的加解密方式,每个开放平台会在概述中最开始介绍API调用的安全加解密方法,这是每个对接过程中必须的准备流程,如微信企业平台在概述中就已介绍利用第2种方法(企业微信命名为access_token)进行加解密传输。
三、最后以上就是API签名验签和加解密的基本原理,接下来我会继续更新API的请求方式等问题,同时以企业微信,微信开放平台等大型开放平台的业务解释各平台支持的现有功能。
综上,水平有限,如有纰漏,敬请指出。
作者:就是爱睡觉;已任职电商和金融业行业的产品岗位3年时间,目前业务以TO B业务为主,文章是用于记录自己在产品工作的思考和想法,希望有想法的小伙伴共同交流。