Каков наилучший способ безопасной обработки проверок подлинности между доменами с использованием REST / JSON / PHP / AJAX

Question

Я использую PHP / CodeIgniter и библиотеку Tank_Auth для аутентификации как на site.com, так и через API, и очень простой REST API от Phil Sturgeon.

Прямо сейчас, когда пользователь вводит имя пользователя / парольна Сайте1.Это делает вызов API следующим образом:

http://site2.com/api/index/authenticate?username=jdoe&password=123456

На Site2.com: index / authenticate использует библиотеку tank_auth для сравнения имени пользователя / пароля с тем, что хранится вбаза данных.

Мой вопрос: Существует ли стандарт для шифрования пароля во время отправки и последующего дешифрования на другой стороне?Или достаточно SSL-сертификата?

Answer 1

как насчет создания хеша 2 с некоторой «солью», передайте его в строке запроса, а затем убедитесь, что он совпадает, запустив тот же хеш на 2-м сервере.

http://site2.com/api/index/authenticate?username=jdoe&password=123456&cs=fds34wsef3ewtdfgw54ty43wg    

убедитесь, что вы держите секрет в секрете ... не слишком уверены в том, чтобы передать это в GET, особенно пароли - возможно, вы могли бы передать отдельный хеш id вместо пароля. Определенно используйте POST, а в идеале SSL. Чем больше вы можете запутать, зашифровать, тем безопаснее будет