님이 안전한 것으로 간주되는 HTTPS를 통해 JSON에서 비밀번호를 전송하고 있습니까?

Question

인증을 수행하기 위해 HTTPS를 통해 JSON에서 비밀번호를 보내는 경우 안전합니까? 그것을 할 수있는 더 좋은 방법이 있습니까?

일반적으로 인증을 수행하기 위해 서버에 사용자 이름과 암호를 보내는 가장 좋은 방법은 무엇입니까?

Answer 1

일반적으로 말하자면, 이것은 패시브 네트워크 도청 자에게 안전합니다. 이는 일종의 아키텍처에서 우려되는 주된 위협입니다.

(HTTPS 암호화 된) 요청으로 암호를 보내지 않으려는 경우 서버가 클라이언트에 고유 한 요청 문자열을 보내도록 할 수 있습니다. 클라이언트는 해당 문자열과 암호 조합을 해시 한 다음 해시를 서버에 전송합니다. 이것은 클라이언트가 실제로 암호를 보내지 않고 암호를 가지고 있음을 서버에 증명합니다. 야후의 로그인 양식은 예를 들어 이렇게 사용되었습니다.