Обеспечение единого входа в веб-приложение

Question

Мне нужно создать структуру единого входа, и мой вопрос: является ли SSL обязательным?

Подробнее: В приложении будет ссылка на мое веб-приложение. Когда пользователь щелкает эту ссылку, его локальное имя пользователя передается в мое веб-приложение, после чего выполняется поиск в файле сопоставления. Если это локальное имя пользователя существует на карте, то пользователь входит в систему. Если нет, то пользователю будет предложено ввести свое сетевое имя пользователя и пароль, и после аутентификации будет создана запись на карте.

Как мне убедиться, что пользователь - это тот, о ком говорят, а не Джо Блоу с улицы, отправляющий запрос HTTP POST с этим именем пользователя?

Должен ли я использовать SSL (и если да, что это влечет за собой)? Было бы достаточно добавить соль и зашифровать имя пользователя? Может быть, заблокировать его, чтобы IP-адрес источника находился в контролируемом диапазоне?

Мое веб-приложение работает на IIS 6/7 и использует платформу ASP.NET MVC, если это важно.

Answer 1

Похоже, вы хотите использовать SSL-сертификаты на стороне клиента. Как вы реализуете это, зависит от вашей настройки.

Другая информация, которую нужно иметь в виду:

Если я хочу отправить «dmoules» в ваше приложение, я могу. Вы не можете остановить меня от этого. Вам необходимо пройти аутентификацию через надежный источник, который предоставляет подтверждение личности. Вы не можете доверять HTTP-запросам от вашего приложения без изменений без каких-либо доказательств (таких как сертификат клиента).

Answer 2

Звучит как плохой способ аутентификации, поскольку пользователь не передает секрет в веб-приложение.Так как он находится во внутренней сети, скорее всего, вам не помешает использование хэшей имени пользователя + соль в качестве идентификатора сеанса.Хотя я не использовал ASP.NET, я уверен, что он позволяет вам создавать сеансы, которые никогда не останавливаются по тайм-ауту, по какому пути я бы пошел, вместо того, чтобы повторно реализовывать колесо, если, конечно, не возникает проблема динамического обновления идентификаторов сеансов в настольном приложении.,