Безопасная аутентификация без SSL?

Question

Я создаю веб-сервис для конечных пользователей, который будет иметь интерфейс в виде настольного приложения Adobe AIR, но пользователи также смогут получать доступ к своим данным через веб-сайт. Пользовательские данные будут синхронизированы между сервером и локальным хранилищем данных. Проблема в том, что я не могу получить сертификат SSL. Есть ли способ сделать это более безопасным ....

Я думаю, что могу использовать что-то вроде oAuth на двух ножках или систему аутентификации, подобную Amazon S3?
Что вы рекомендуете в такой ситуации?

Answer 1

Первый вопрос: почему вы не можете получить сертификат SSL?Я могу думать о двух причинах:

1. SSL-сертификаты слишком дороги
2. Вы не хотите, чтобы сертификат был выдан третьей стороной

Если ваша проблема № 1, StartSSL предоставляет бесплатные сертификаты со сроком действия 1 год или взимает 50 долларов США за неограниченные сертификаты, действительные в течение 2 лет (включая подстановочные знаки).Они распознаются как Mozilla, так и хранилищем доверенных сертификатов Microsoft.

Если проблема №2, почему бы не выпустить самозаверяющий сертификат и жестко закодировать его в свое приложение?Это совсем не ставит под угрозу безопасность системы (приложение будет принимать только ваш конкретный сертификат), но устраняет необходимость «получать» SSL-сертификат откуда-то еще.

Если вы действительно можете это сделатьНе используйте SSL, посмотрите на системы «вызов-ответ», такие как Kerberos, или генераторы анонимных материалов ключей, таких как Диффи-Хелман (с асимметричным ключом для проверки подлинности сервера).Существует много методов для безопасной двухсторонней аутентификации по небезопасной линии.Ключевым моментом является то, что шаг проверки идентификатора должен быть вызов-ответ вместо схемы «пришлите мне ваш секрет».