作为负责安全的人,我想知道这个问题。为了提供最佳安全性,如果私钥不受密码保护,我不想为用户接受/部署公钥。
不过网上好像没有这方面的资料。
是的,我知道密码保护只发生在客户端,因此只与私钥相关,但我对此的想法是,在公钥生成时,它可能会添加一些元数据,表明私钥已经是密码受保护。
作为负责安全的人,我想知道这个问题。为了提供最佳安全性,如果私钥不受密码保护,我不想为用户接受/部署公钥。
不过网上好像没有这方面的资料。
是的,我知道密码保护只发生在客户端,因此只与私钥相关,但我对此的想法是,在公钥生成时,它可能会添加一些元数据,表明私钥已经是密码受保护。
不,它与密钥生成无关。可以加密密钥,稍后删除密码,更改密码和/或更改算法。反过来也是如此,可以从未加密的密钥开始,然后对其进行加密。密钥对生成完成后,加密在客户端完成。
这实际上与加密任何其他类型的数据没有什么不同。我会指出,如果加密密钥会将该信息泄露给公钥,那将是一个糟糕的设计。