SSL을 사용하지 않는 안전한 로그인 자격 증명

Question

저는 유료 디지털 인증서를 읽고 웹 사이트 https : //에서 SSL을 사용한 후 네트워크 계층에서 데이터 전송이 안전하다는 것을 알고 SSL을 처음 사용합니다.

내 응용 프로그램에서 나는 loginname과 password를 제외하고 많은 보안 문제가 없다.

SSL의 HTTPS를 사용하지 않고 LOGINNAME과 암호를 보호 할 수있는 방법이 있습니까 : //

Answer 1

평범한 HTTP보다 안전하게 작동 할 수있는 여러 인증 방법이 있습니다. 이 중 가장 일반적인 것은 Digest이며 모든 주요 웹 브라우저와 사실상 모든 웹 프로그래밍 프레임 워크에서 지원됩니다.

웹 사이트에 대한 다이제스트를 사용하는 다운 측면입니다 :

• 인증은 거의 좋은 보이지 않는 브라우저 자체가 아니라 웹 사이트의 로그인 페이지에 의해 처리된다 "비밀번호를 잊었습니까?"와 같은 주변 도우미 기능을 모두 사용할 수는 없습니다. 우리가 요즘 기대하게 된 것.

• SSL 연결이없는 경우 정통한 사용자는 자격 증명을 입력 할 때 SSL 연결을 찾도록 훈련 받았기 때문에 안전하지 않은 경우에도 비밀번호를 안전하지 않게 보냈다고 걱정할 수 있습니다. 이

또한 일반 HTTP를 통해 안전 등 OAuth 다른 계획이 있지만, 그 웹 사이트에 비해 API에 대한 정말 더, 그래서 아마 당신이 원하는 없습니다.

Answer 2

인증서는 자기가 한을 체결 할 수있다. 반드시 유료가 될 필요는 없습니다 :)

Answer 3

또한 나는 현재 그 사용하고 StartSSL.Org 을 시도 할 수 있으며 어떠한 대안이 없어도 잘 작동하지만이 cacert.org로 어떻게 든 같은, 그들은 기본적

Answer 4

하여 브라우저에서 신뢰할 수없는 사용자가 로그인 한 모든 페이지에 대해 SSL을 사용하는 것 이외의 브라우저에서 HTTP 보안. 다른 기술은 완전히 안전하지 않으며 모호한 계층입니다.

HTTP를 통한 모든 가정용 솔루션은 다른 취약점 중에서도 MITM 공격에 항상 취약합니다.

SSL을 사용하는 경우에도 & 로그인 메커니즘은 안전해야하며 그렇지 않으면 다른 악용 사례를 사용하여 해킹 당할 수 있습니다.

Answer 5

주제에서 벗어나면 openssl을 사용하여 자체 서명 인증서를 얻을 수 있습니다.

자체 서명 된 인증서를 생성하려면 먼저 RSA 키와 CSR을 생성해야합니다. 설치하려면 openssl와 리눅스 시스템에서 :

openssl genrsa -des3 -out mydomain.key 1024 

openssl req -new -key mydomain.key -out mydomain.csr // fill in the details 

mv mydomain.key mydomain.key.org 

openssl rsa -in mydomain.key.org -out mydomain.key  // creates passphraseless key 

openssl x509 -req -days 365 -in mydomain.csr -signkey mydomain.key -out mydomain.crt 

Answer 6

음은 오래된 스레드를 엽니 다 싫어,하지만 난이 정확 보이지 않아요.

나는 검증 할 수있는 인증서를 이기기가 어렵지만 사람들은 종종 테스트 사이트에 자체 서명 된 인증서를 사용한다는 것을 인정합니다. 나는 간단한 자작 해결책이 자기 서명 된 인증서만큼 좋은 것일 수 있다고 확신한다.

지옥, 나는 심지어 약간의 사전 공유 키 (또는 gpg와 같은 것)로 모든 비트를 안전하다고 말할 것입니다.