Требуется ли ssl для системы аутентификации? - PullRequest
2 голосов
/ 27 марта 2012

Я занимаюсь разработкой сайта с видео.У меня нет транзакций на моем сайте.У меня есть система входа в систему.

Как вы думаете, мне требуется ssl для системы входа в систему?Я даже интегрировал Facebook, так что в основном пользователи будут входить со своей учетной записью Facebook.

Есть ли альтернатива для ssl для таких сайтов, как мой?

Ответы [ 3 ]

4 голосов
/ 27 марта 2012

Все, что вы передаете через Интернет без использования SSL / TLS (или эквивалентной системы для шифрования / защиты конфиденциальности передаваемой вами информации), должно считаться полностью скомпрометированным и видимым для всех.В вашем случае это будет включать имена пользователей, пароли и токены сеансов, которые могут позволить злоумышленнику узнать ваши комбинации UN / PW, чтобы они могли выдавать себя за пользователей на длительный срок, и токены сеансов, чтобы они могли действовать как зарегистрированный пользователь..

Вам нужно защитить это?Абсолютно рискованное решение.Каков уровень секретности ваших данных?Каковы будут последствия, если этот компромисс случится?Что бы подумали ваши пользователи, если бы их имена пользователей и пароли стали доступны всему миру?Поскольку пользователи, как правило, используют пароли на разных сайтах, это может повредить репутации вашего сайта (и вашей репутации), если это произойдет.

То же самое может произойти с вашим логином на Facebook.При этом используется OAuth, который является просто токеном-носителем, отправленным клиентом на ваш сервер.Если он отправляется за пределы туннеля SSL / TLS, следует предположить, что он скомпрометирован и, в зависимости от того, как работают токены-носители, любой, кто может видеть токен, использовать его повторно и действовать как пользователь.

По сути, SSL / TLS дешев, как с точки зрения стоимости сертификата от уважаемого и доверенного ЦС, так и мощности / задержки сервера.Если у вас есть пользовательская база любого значительного размера, то, скорее всего, очень легко использовать SSL / TLS.

1 голос
/ 27 марта 2012

Я бы серьезно подумал об использовании стороннего поставщика OpenID или OAuth в качестве системы аутентификации. Есть много соображений для обработки входа в систему. Часто пользователи подвергаются риску со стороны пользовательских систем входа в систему, которые используют слабые хэш-функции для хранения пароля. Хорошим примером является утечка Gawker , которая использовала DES для хранения пароля . Довольно ужасные вещи, особенно когда вы думаете, что этого можно полностью избежать.

Очевидно, вам нужен SSL для передачи имени пользователя и пароля по сети. Но на самом деле пользователь проходит проверку подлинности вашего приложения с использованием значения cookie или токена сеанса. Это реальный метод аутентификации , и поэтому OWASP a9 требует, чтобы это значение никогда не передавалось по небезопасному каналу.

Если ваш веб-сайт вообще чего-то стоит, тогда используйте SSL для защиты сеансов вашего пользователя. Если ваш веб-сайт бесполезен и никто не заботится о наличии учетной записи, то зачем создавать ее?

0 голосов
/ 27 марта 2012

Многие люди используют одни и те же логины на разных сайтах, поэтому для предотвращения подслушивания рекомендуется использовать ssl.

Если вы беспокоитесь о цене и не совершаете никаких финансовых транзакций на своемНа сайте вы можете попробовать получить бесплатный сертификат: https://www.startssl.com/?app=1

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...