发送AES密钥和IV客户

Question

是否安全，从服务器发送移动客户端的AES密钥和IV用于加密敏感数据？密钥和IV将使用TLS发送。该密钥将用于从头到尾加密数据。

更新：

我的要求实际上已经改变了，所以我并不需要这样做，但我想出了解决方案实际上是让客户端通过TLS发送公钥到服务器。然后服务器可以使用该公钥对密钥进行加密并将其发送回客户端。

Answer 1

这将是在TLS任何数据的安全。这也取决于你的客户信任这个TLS的数量，这可能没有双面认证。

但基本上发送密钥这种方式并不添加多使用TLS。如果TLS不安全，则AES密钥不安全。如果不是那么AES密钥是安全的......但是TLS已经是安全的了。如果您使用提供前向安全性的密码套件（DHE_或ECDHE_），则可能会有轻微的优势。

但总的来说，如果你发送任何东西，你会送一个公钥如PGP密钥。另一方面，当事人仍然必须信任发件人（即通过验证指纹），但是如果TLS连接不安全，那么泄漏公钥至少不会破坏使用它加密的任何内容。