未分類
27 10 月 2020

网易云音乐加密疑问，为什么要经过两次 aes 加密

网易云音乐加密疑问，为什么要经过两次 aes 加密

資深大佬 : simonlu9 2

很久之前就爬过网易云音乐的数据，但当时没有认真分析，现在项目 api 请求加密突然想参考网易云音乐的加密的方式，加密如下

i = self.create16RandomBytes() encText = self.AESEncrypt(input_text, self.nonce) encText = self.AESEncrypt(encText, i) encSecKey = self.RSAEncrypt(i, self.public_key, self.modulus)   上面的算法一看就知道模仿 https 的加密流程的，但是我想不明白为什么要经过两次 aes,意义何在，我觉得随机生成 16 位的密钥通过 aes 加密，然后 rsa 加密密钥传给服务端就可以啦，求解答

大佬有話說 (10)

  • 資深大佬 : iccfish

    第一轮是 nonce，只能用一次的服务端参数，防止回放攻击。

  • 主 資深大佬 : simonlu9

    @iccfish 加 nonce 我也明白，为了每次加密的密文都不一样，但是搞不明白为什么要两次

  • 資深大佬 : brazz

    你会解密网易云的参数么？逆向解密

  • 主 資深大佬 : simonlu9

    @brazz 解密肯定做不到的，私钥放在服务器上，只是模拟请求而已

  • 資深大佬 : brazz

    如果能正向加密的话 那不就证明我们已经知道私钥了么？

  • 資深大佬 : BIAOXYZ

    这是服务器端执行后要发给客户端的吗？是不是一次 session 中 self.nonce 可以复用啊？

  • 主 資深大佬 : simonlu9

    @BIAOXYZ 客户端发给服务端的

  • 主 資深大佬 : simonlu9

    @brazz rsa 你只知道公钥，私钥你不知道的

  • 資深大佬 : BIAOXYZ

    @simonlu9 #7 我感觉第一次 AES 加密是加随机化，第二次是用 i 作为密钥来加密。第三个 RSA 是典型的混合加密行为：公钥密码算法加密一个 session key （这个 session key 要求是对称密钥），这里 session key 就是 i 。

  • 主 資深大佬 : simonlu9

    @BIAOXYZ 嗯，session key 是每次都会变吗？