消息级别其他Web服务中的安全性

我想在REST Web服务中实现两级安全性。消息级别其他Web服务中的安全性

我需要一些建议，我可以如何实现这一点？是否有任何Web标准，比如我们可以使用的SOAP中的WS-Security。我遇到了JSON Web Encryption（JWE），但不确定这是否足够我的目标。

为什么HTTPS不能满足这两种需求？ – 2012-03-26 12:56:41

使用HTTPS，消息仅在传输过程中受到保护。我们的目标是对于每个使用该应用程序的用户来说，消息加密都会有所不同，并且只能通过预期的用途进行解密。 – shashankaholic 2012-03-27 05:41:00

如果您正在寻找图书馆建议，您需要说明您正在使用的平台以及您的客户使用的平台。显然你需要让你的客户变得容易，所以你需要说出他们将使用什么来达到你的服务 - 只是一个网络浏览器？ – 2012-03-27 06:54:40

一种好的方法是亚马逊网络服务使用它们的客户端数据加密。 documentation很好地概述了它的工作方式，性能特点，客户端要求和密钥管理等含义。

AWS客户端加密使用信封加密。他们的数据使用对称密码进行快速加密，对称密钥和有效载荷细节等元数据使用较慢但更安全的不对称密钥进行加密。

希望有所帮助。

2012-03-28 01:56:44

谢谢。为了领先。关键管理将是这方面的主要挑战。另一个挑战是不同的平台（iOS，Android，HTML5），REST Web服务将从其调用不同于aws的JAVA SDK。有任何想法吗。 – shashankaholic 2012-03-28 19:08:31

嗨shashankaholic，我没有任何关于在一系列平台和语言上进行客户端加密的建议，但并不意味着这将是一项重大任务。如果你可以坚持一些东西（比如HTML5）作为你的客户端选项，那么你已经大大简化了你的问题。 – 2012-03-29 08:30:46

回答