Служба REST через SSL и HTTP Basic Authentication

Question

In Защита API: Базовая аутентификация SSL и HTTP против сигнатуры Базовая аутентификация HTTP указывается в качестве адекватного способа защиты вызовов веб-службы REST, если вызовы REST выполняются через SSL.* Но, похоже, этот метод все равно не будет работать для незащищенной клиентской страницы, которая использует Ajax для вызова службы REST, защищенной SSL и Basic Auth.

Я пытаюсь разработать приложение, которое выполняет сброс пароля обычным способом:

1. пользователь вводит имя пользователя и запрашивает электронную почту "сброс пароля"
2. пользователь получает электронную почтусо ссылкой для сброса пароля, которая включает в себя проверяемый токен
3. пользователь нажимает на ссылку и (после проверки токена) вводит обновленный пароль

По определению эти страницы не требуется логинМожет ли этот пользовательский интерфейс быть реализован с использованием Ajax, который вызывает службы REST для таких вещей, как проверка токена, отправка электронной почты и т. Д.?Даже если эти службы REST защищены с помощью SSL и базовой аутентификации, информация, которая необходима для вызова службы (т. Е."имя пользователя" и пароль приложения ), в лучшем случае будет храниться в файлах cookie, которые будут доступны черезбраузер.

Я знаю, что что-то упустил.Я просто не знаю что :-)

Answer 1

Пока 1 - 3 происходит по протоколу SSL, данные будут безопасно передаваться по сети на сервер (при условии, что вы доверяете центру сертификации)

Во время этого процесса браузер будет хранить эти учетные данные в памяти,У вас нет выбора, кроме как доверять этому, если пользователь собирается вводить данные.

Это код веб-сайтов, который определяет, следует ли хранить информацию в файлах cookie.

Я думаю, что вы должны быть в порядке, если 1 - 3 по SSL.

Answer 2

Я понятия не имею, что вы защищаете, поэтому я просто выброшу некоторые мысли.

SSL и TLS не имеют смысла, если вы (или кто-то еще, кто кричит) не контролируют корневой список проверяющей стороны. Я говорю это потому, что ожидаю, что если вы не доверяете парню с ключом от замка, вы не положите свои деньги в его хранилище. Так что, если пользователи, загружающие страницы входа, находятся, так сказать, в дикой природе, то пользователь / проход по TLS - это низкая планка, определенно достаточная для защиты списка моих любимых фильмов.

Карби хвалит всех ФСМ