加密Firefox附加组件中的数据

Question

我正在使用Firefox Add-on SDK中的请求模块来访问我的Perl应用程序。在Firefox面板中，用户将输入他的名称和密码，该名称和密码将被转发到我的Perl CGI应用程序。

首先，我想知道这是否安全。

其次，是否有机会加密数据然后在服务器端再次解密（使用CGI模块用Perl编写）？

Answer 1

  

首先，我想知道这是否安全。

就客户端而言 - 取决于您如何存储此密码。如果您记住密码而不是要求用户每次都输入密码，那么您应该use Login Manager（如果用户定义了主密码，则将其加密存储）。使用附加SDK时，您需要chrome authority：

var {Cc, Ci, components} = require("chrome");

然后，您可以Components.classes替换示例中的Cc，Components.interfaces替换Ci，Components.Constructor替换components.Constructor，这些代码段应该在您的扩展程序中正常工作。

  

其次，是否有机会加密数据，然后在服务器端再次解密数据

如果您的目标是防止窃听，那么您不想要使用对称加密 - 它使用相同的密钥进行加密和解密，并且任何看到的人都可以看到用于加密的密钥您的扩展程序的源代码。因此，您希望使用非对称（公钥）加密算法，如RSA。但是，在Firefox中“手动”使用它目前非常复杂，需要通过NSS library访问js-ctypes（DOMCrypt extension这样做）。更不用说你仍然需要考虑replay attacks等。更简单的解决方案是使用HTTPS连接与服务器通信。