加密服務端，解密客戶端（AES）

Question

我希望這是非常明顯的：

我有我的查詢ASPNET角色提供數據庫中的身份驗證服務。 認證服務將角色詳細信息傳遞迴用戶對象內的客戶端。 使用該角色，我查詢我的web.config以確定用戶可以看到的值。

安全團隊已完成審閱，他們可以看到User對象的Roles屬性。他們攔截這個響應，用「管理員」角色欺騙它，並用這個查詢我的web配置。

我正在尋找AES加密服務，在客戶端解密，但我遇到了解密用戶對象內的只讀問題。

有沒有人有更好的想法，建議？

謝謝， 邁克

Answer 1

如果你想避免欺騙，你可以簽署您發送的響應和有什麼接收消息與角色驗證簽名。這通常使用公鑰密碼學（通常使用X.509證書）完成。

在更爲一般的說明中，是否考慮過使用現有的基礎結構（例如Kerberos/ActiveDirectory）？