Как безопасно передать пароль, если у вас нет https (ssl)?

Question

Как безопасно передать пароль, если у вас нет https (ssl)?

Answer 1

Дайджест-аутентификация обеспечивает некоторую защиту, особенно если у вас хороший короткий срок одноразового использования, и ее легко внедрить. Это делает это уместным в некоторых случаях, когда пароль - единственное, что вам нужно защитить от отслеживания. Подробнее см. RFC 2617.

Это все еще не так безопасно, как HTTPS.

Answer 2

Протокол Secure Remote Password разработан именно для этих случаев. Есть плавающие вокруг реализации JavaScript, которые должны подходить в контексте HTTP. Но имейте в виду, что это может защитить от кого-то , слушающего пассивно, но не от кого-то вмешивающегося с трафиком, поскольку они могут просто вместо этого отправлять пользователям испорченный JavaScript.

Также имейте в виду, что даже если клиентские пароли не могут быть скомпрометированы тем, что они аутентифицированы, они все равно будут уязвимы для человека в средней атаке, если вы не позаботитесь о его защите, например. используя SRP Hermetic

Clipperz должна быть хорошей библиотекой SRP JavaScript, подходящей для вашей цели.

Answer 3

SSL определенно рекомендуется, и есть несколько дешевых (или бесплатных) источников для получения SSL-сертификатов.Тем не менее, вы можете использовать библиотеку шифрования JavaScript, например http://www.jcryption.org/, если вы абсолютно не можете использовать SSL.Просто запомните:

jCryption в его текущем состоянии не заменяет SSL, потому что нет аутентификации, но основной целью jCryption должен быть очень простой и быстрый в установке плагин, который предлагает базовый уровеньбезопасности.