HTTP 클라이언트의 HTTPS 트랜잭션 보안

Question

스키마에서 무기명 토큰, 로그인 및 md5 해시 암호를 차단할 수 있습니까?

내가 REST API를 사용하여 이러한 트랜잭션/교환을 확보하기 위해 클라이언트 또한 HTTPS를 사용해야합니까?

Answer 1

스키마가 이루어지는 위치에 따라 다릅니다. 따라서 VPN 연결에서 발생하면 통신을 추가로 암호화 할 필요가 없습니다.

클라이언트가 로그인 페이지에 '표준'방식으로 액세스했다고 가정합니다. 나중에이 모든 컴퓨터에서 어떤 웹 브라우저로 액세스 할 수 있도록 원하는 로그인 페이지를 사용하면 (다음에 자세히 파고)를 찾고 있습니다 아마 무엇인가가 있습니다

로그인/암호 :

클라이언트가 HTTPS 페이지 대신 HTTP 페이지에 정보를 제공하면 나중에 해당 데이터로 어떤 일을 하던지 상관없이 해당 페이지로 전송되면 일반 텍스트로 인터셉트 될 수 있습니다.

토큰 위 그림

개봉 로그인 자격 증명을 받고 나타냅니다, 암호의 MD5 해시를하고 다시 토큰을 제공하는 HTTPS 보안 페이지에 정보를 전송 (또는 자격 증명이 잘못을하지 않을 경우).

그러나 HTTPS 보안 시스템은 토큰을 다시 보내고 HTTP를 통해 클라이언트로 전송하여 일반 텍스트도 가로 채기 쉽습니다.

당신은 아마 원하는 무엇 :

는 클라이언트가 로그인 페이지에 HTTPS에서 보안 연결을 HTTPS에서 보안 로그인 자격 증명을 제공하고 그 유효성 여부 HTTPS에서 설립 된 보안 연결 내에서 토큰을 recives 가지고있다.