Я писал процедуру аутентификации на PHP, чтобы пользователи компании могли получить доступ к новому инструменту через Интернет.Я почти все понял, но когда дело доходит до того, как безопасно «запомнить» аутентифицированного пользователя между сессиями, мне что-то интересно.
На основании недостатка информации, окружающей его, я получаюОщущение, что не многие люди используют клиентские SSL-сертификаты, чтобы проверить, приходит ли пользователь с доверенного компьютера.На мой взгляд, до тех пор, пока вы можете заставить пользователя доверять вашему ЦС (это не проблема внутри компании), почему нет простого и удобного способа запрашивать, подписывать, выпускать и устанавливать новый клиентский сертификат, который помогаетпредотвратить MITM намного лучше, чем, скажем, cookie-файл?
Я не ожидаю, что сертификат клиента станет концом всего, но есть ли какой-то ресурс, который мне не хватает, который поможет мне продвинуться по этому пути?Или кроличья нора слишком глубокая, и единственное, чего не хватает моим исчерпывающим поискам, - это слово «кошмар», чтобы показать, насколько это на самом деле дерьмо?
Спасибо!