Каковы плюсы и минусы базовой HTTP-аутентификации

Question

Я создал REST API, который использует Basic HTTP аутентификация.Только для SSL.Теперь, когда это реализовано, я слышу критику, что Basic HTTP через SSL не является безопасным.Для меня было бы вредом «остановить прессу» для этого проекта, и это было бы за рамками некоторых навыков моих клиентов, чтобы использовать OAuth и т. Д. Мне нужно понять риск и выгоды этого метода.Любые примеры громких имен, использующих Basic HTTP-аутентификацию, будут также полезны в качестве поддержки.

Answer 1

Базовая аутентификация HTTP через SSL в основном безопасна, с оговорками.Проблемы безопасности в основном возникают из-за использования Basic auth без SSL, и в этом случае имя пользователя и пароль подвергаются MITM .В браузере также существуют проблемы с истекшим сроком действия учетных данных, но это не является большой проблемой для служб REST.

Answer 2

возможно, я в заблуждение, но я не вижу проблемы с SSL только BASIC ... особенноне с API без сохранения состояния.Если вызывающие абоненты вынуждены использовать прокси-сервер, прослушивающий SSL, то BASIC означает, что пароль доступен в виде открытого текста для прокси ... в этом конкретном случае дайджест будет лучше (даже с SSL), потому что прокси не будет знать пароль(Дайджест означает ответ на вызов ...).