我想知道如果客户要求在SSL之上进行第二层加密，该怎么办？
例如，我有一个SSL隧道，客户希望我对流经该隧道的数据使用对称密钥加密。对称密钥是基于会话的，并通过原始SSL隧道从服务器发送到客户端。
我没有看到这更加安全。如果SSL隧道受到破坏，那么从理论上讲，服务器发送的对称密钥也是如此，以便在会话期间进行对称加密。
在这种情况下，任何人都可以提供任何不同的观点吗？我敢肯定，如果事先建立了共享秘密（如一次性密码），这会使事情变得更加安全，但由于秘密通过SSL通过会话传递，我看不到它是如何为我们购买任何额外的安全措施。
您有什么想法，并且您有过类似的经历吗？
谢谢
答案 0 :(得分：4)
听起来像客户的“下一个好主意”，他们认为阅读“我的第一个加密”能让他们以一种非常聪明的方式重新发明轮子:)
这样的事情通常是无稽之谈，因为正如你所说的那样，对称密钥被发送出来。
但是，我可以想到一个可能有意义的场景 - 很多大公司或机构都有禁止端到端SSL / TLS连接的策略。它们在某个时刻终止传入的TLS，以便能够扫描纯文本数据中的病毒等。在这种情况下，额外加密应用程序级别的数据以防止内部窃听可能是有意义的。
但是你又可能违反内部规定......