如何在 Baikal/SabreDAV 上实现加密？
How to implement encryption on Baikal/ SabreDAV?
我正在试用 Baikal 的 CardDAV 功能，以便为我的用户提供 iOS 上的地址簿功能。
我已经创建了一个桌面应用程序，希望能够从这个应用程序创建一个带有 VCard 数据的 BLOB，并将其插入到 MySQL table 以便贝加尔湖将其视为有效地址簿数据。棘手的部分是我想要求用户提供加密密钥以在贝加尔湖上设置他们的 CardDAV 帐户。我希望将此密钥传递给加密函数，以便加密 vcard 并将其作为 BLOB 存储在贝加尔湖的 MySQL 数据库中。要检索用户 iOS (iphone) 设备上的 CardDAV 联系人，我会以某种方式要求用户将他们的密钥作为参数添加到贝加尔湖的连接 URL。最后我会使用这个参数来解密每个用户的卡片。因此，如果我的用户的地址簿位于 http://myserver/baikal/html/dav.php/user1/default，我会要求他们添加这样的参数：http://myserver/baikal/html/dav.php/user1/default?p =12345678
这样，只有用户知道如何解密他们的数据，即使贝加尔湖落入黑客之手，也是安全的。
这有意义吗？知道从哪里开始吗？
如果您将密码放入 URL，一旦服务器落入黑客之手，您的系统日志中就会出现密码。
您可以只使用用户的常规密码进行加密，至少通常不会以其他方式记录或保存在服务器上。
无法使用（未修改的）CardDAV 客户端进行真正的客户端加密，因为像 iOS/macOS 中的常规 Cal/CardDAV 客户端根本不支持进行内容级加密的方法。您最多可以获得用于保护传输的 TLS。
如果您仍想继续，则需要将服务器修改为：
- 将那些存储的加密 vCard 视为普通 vCard（例如报告正确的内容类型）
- 在用户请求它们之前对其进行解密，并在用户到达时更改它们时对其进行加密
- 对 CardDAV 查询做一些合理的事情，最好禁用它们
坦率地说，与仅让数据库或文件系统加密数据相比，这种方法的价值有限且代价高昂。
这实际上取决于您要解决的具体安全问题。但是如果黑客可以访问您的服务器，他也可以访问所有传入的密码并且可以直接捕获它们。
如果您想要真正的客户端加密，您不能使用标准的 CardDAV 客户端，而需要自己编写。例如。在 iOS/macOS 你可以有一个应用程序在本地进行加密并更新用户的联系人数据库。
正确实施加密真的很难，如果数据是合理的，你需要专业人士来审核。
我正在试用 Baikal 的 CardDAV 功能，以便为我的用户提供 iOS 上的地址簿功能。
我已经创建了一个桌面应用程序，希望能够从这个应用程序创建一个带有 VCard 数据的 BLOB，并将其插入到 MySQL table 以便贝加尔湖将其视为有效地址簿数据。棘手的部分是我想要求用户提供加密密钥以在贝加尔湖上设置他们的 CardDAV 帐户。我希望将此密钥传递给加密函数，以便加密 vcard 并将其作为 BLOB 存储在贝加尔湖的 MySQL 数据库中。要检索用户 iOS (iphone) 设备上的 CardDAV 联系人，我会以某种方式要求用户将他们的密钥作为参数添加到贝加尔湖的连接 URL。最后我会使用这个参数来解密每个用户的卡片。因此，如果我的用户的地址簿位于 http://myserver/baikal/html/dav.php/user1/default，我会要求他们添加这样的参数：http://myserver/baikal/html/dav.php/user1/default?p =12345678
这样，只有用户知道如何解密他们的数据，即使贝加尔湖落入黑客之手，也是安全的。
这有意义吗？知道从哪里开始吗？
如果您将密码放入 URL，一旦服务器落入黑客之手，您的系统日志中就会出现密码。 您可以只使用用户的常规密码进行加密，至少通常不会以其他方式记录或保存在服务器上。
无法使用（未修改的）CardDAV 客户端进行真正的客户端加密，因为像 iOS/macOS 中的常规 Cal/CardDAV 客户端根本不支持进行内容级加密的方法。您最多可以获得用于保护传输的 TLS。
如果您仍想继续，则需要将服务器修改为：
- 将那些存储的加密 vCard 视为普通 vCard（例如报告正确的内容类型）
- 在用户请求它们之前对其进行解密，并在用户到达时更改它们时对其进行加密
- 对 CardDAV 查询做一些合理的事情，最好禁用它们
坦率地说，与仅让数据库或文件系统加密数据相比，这种方法的价值有限且代价高昂。
这实际上取决于您要解决的具体安全问题。但是如果黑客可以访问您的服务器，他也可以访问所有传入的密码并且可以直接捕获它们。
如果您想要真正的客户端加密，您不能使用标准的 CardDAV 客户端，而需要自己编写。例如。在 iOS/macOS 你可以有一个应用程序在本地进行加密并更新用户的联系人数据库。
正确实施加密真的很难，如果数据是合理的，你需要专业人士来审核。