一、非对称加密
- RSA ：
+ 公钥加密，私钥解密；
+ 私钥加密，公钥解密；
+ 只能通过因式分解来破解
二、对称加密
- DES
- 3DES
- AES （高级密码标准，美国国家安全局使用，iOS操作系统内部使用，目前还没有发现过被破解的案例)
三、哈希散列函数 （摘要算法）
1、常见算法
- MD5
- SHA1
- SHA256/512
2、散列函数特点
- 算法是公开的
- 对相同的数据加密，得到的结果是一样的
- 对不同的数据加密，得到的结果是一样长的32位字符 由a-Z 0-9 组成
- 信息摘要，信息指纹，是用来做识别的，不能反算
四、iOS开发两条原则
1、不允许在网络上传递明文的用户隐私信息
解决方案：
* 各种加密算法（MD5 AES..........），但是有些算法并不安全，像MD5算法在网上随便找个网站都可以轻松的反加密破解掉 ，以下提供两种安全策略：
- 加盐
+ 所谓的“盐”，其实可以理解为一串又臭又长的字符串，例如：UYGUYF&**%&**^*(&%&%&^TUGUYRFG^&R^&F^%^R$%ERFV^&VB&^R%^V
+ 客户端用用户的原始密码拼接盐再MD5得到的一串32位字符串发给服务端，服务端也用相同的算法得到字符串来对比结果
+ 盐要足够长，无规则，这样才不容易被破解，盐一般都是写死在本地，对于移动开发来说 只有iOS 安卓 服务器 三个人知道
+ 弊端： 其实加盐已经算比较安全了，但是假如某天安卓的那哥们嫌自己的工资太低，找老板想要涨工资，老板没批，安卓那哥们直接辞职，并把加密算法和盐通通公布出去，那么GG
- HMAC
+ 客户端发出登录请求，服务器返回一个随机值KEY，客户端保存这个随机值KEY至本地
+ 客户端将该随机值KEY和用户的密码进行 hmac 运算，递交给服务器，服务器保存这个值（ (KEY+密码)HMAC ）,至此，注册已完成
+ 登录：获取本地的密钥 KEY，(KEY+密码)HMAC发送至服务器，服务器取出保存的值判断密码是否匹配
+ 好处：登录的过程中，黑客截获了我们发送的数据，他也只能得到 hmac 加密过后的结果，拿不到KEY，反加密不出密码，甚至连服务器也不知道真正的密码，从而保证了安全性
- HMAC 高端玩法
+ 登录：获取本地的密钥 KEY，(KEY+密码)HMAC+“时间戳精确到分” ，例如：(KEY+密码)HMAC+“201808031543” 发送至服务器
+ 服务器判断，取出保存的值(KEY+密码)HMAC，拼接“201808031544”，与客户端发来的做匹配，若不对，再用 (KEY+密码)HMAC+“201808031543”做匹配
+ 好处：加密后的密文是变化的，黑客拿到密文后在两分钟之内才有效，然而拿到这个密文又有卵用？
2、在本地不允许明文的保存用户隐私信息
解决方案：
- 保存密文至程序本地，反算回明文后加载进内存 （麻烦）
- 钥匙串（iOS开发者的福音）
+ 苹果“生态圈”，从iOS7.0.3版本开始，苹果开放给开发者访问！
+ 钥匙串加密方式就是AES加密，可以将保存的密码以明文的方式反算给你
+ 钥匙串苹果原生都是c语言的接口，代码又臭又长，但有三方框架，推荐 SSkeyChain
+ 用到的参数就三个：账号----密码-----包名（Bundle identifier）
以下就是SSkeyChain的所有接口，简单易用：
+ (NSArray *)allAccounts;
+ (NSArray *)accountsForService:(NSString *)serviceName;
+ (NSString *)passwordForService:(NSString *)serviceName account:(NSString *)account;
+ (BOOL)deletePasswordForService:(NSString *)serviceName account:(NSString *)account;
+ (BOOL)setPassword:(NSString *)password forService:(NSString *)serviceName account:(NSString *)account;
网友评论