轻量级、简单的 HTTP 中间人保护？

Question

明确一点：我不打算编写自己的协议或自己的客户端实现。我正在寻找一个现有的协议，它是 HTTP 标准的一部分，它通常已经被普通浏览器支持。（这种东西可能不存在。）

我有一个 HTTP 应用程序，需要对中间人威胁进行一些保护。（服务器需要能够向客户端证明其响应的真实性。）加密是无关紧要的，也是不必要的。此外，考虑到预期的命中率，硬件预算非常少。

通常，我只需要一个便宜的证书并在 Web 服务器上启用 SSL，但是负载生成器同时杀死了 Apache 和 Nginx（我不希望任何其他 Web 服务器做得更好）。对于非 HTTP 服务，负载很好。我还尝试配置 HTTPS 服务器以协商空加密密码。这有点帮助，但 SSL 握手仍然太重。

响应文档上的简单 SHA-1 签名（由服务器生成），由客户端验证，很适合我。我编写了一个简单的 Python FastCGI 脚本和 HTTP 客户端来仅测试裸露的 SHA-1 操作——它增加了一些负载，但不多，甚至不接近带有空加密的 SSL 添加的负载。但实际上，我的客户端不是 Python 脚本，而是 Web 浏览器。

（再次声明：我不是在提议我自己的加密协议，Python 脚本只是测试 SHA-1 哈希本身与 SSL 协商的其余部分相比产生了多少负载。我不能使用自定义客户端实现，因为我无法为所有客户端浏览器安装它。）

那么：是否有任何现有的轻量级（与 SSL 相比）用于 HTTP 的服务器身份验证协议？

Answer 1

你要找的东西实际上并不存在。浏览器和服务器内置的轻量级机制是 SSL。