Обычная аутентификация по SSL / TLS

Question

Если я подключаюсь к почтовому серверу по протоколу SSL или TLS, но использую аутентификацию PLAIN, это безопасно?

Answer 1

Поскольку соединение SSL / TLS уже зашифровано, отправка пароля в виде текста PLAIN ничего не повредит.Вы также можете зашифровать пароль, но тогда вы просто дважды его зашифруете.В большинстве случаев я бы посчитал это излишним.

Один случай, который я могу придумать, где вы могли бы использовать что-то кроме PLAIN поверх SSL / TLS, это если вы решите аутентифицироваться с помощью сертификатов вместо паролей.В противном случае я бы оставил это в PLAIN.

Answer 2

Райан абсолютно прав, если вы уверены, что никогда не будете использовать свое приложение без SSL.SSL находится на уровне представления, и всякий раз, когда устанавливается сокетное соединение, первое, что происходит, - это подтверждение SSL, которое включает проверку хоста, обмен ключами сеанса и создание безопасного транспортного уровня.Связь на прикладном уровне происходит после того, как этот безопасный канал установлен, и данные, которыми обмениваются, шифруются с использованием ключей сеанса, и, следовательно, связь в любом случае безопасна.

Однако, если ваше приложение имеет возможность работать с / без SSL, вам следует отдельно шифровать свой пароль.При работе через SSL это будет избыточно, но в противном случае это необходимо.