安全登录凭证而不使用SSL

Question

我是SSL的新手,无论我阅读并了解其付费数字证书以及在网站https://中使用SSL后,数据传输在网络层都是安全的.

在我的应用程序中,除了登录名和密码之外,我没有太多的安全问题.

有没有办法保护登录名和密码而不使用SSL https://

Answer 1

有许多身份验证方案可以通过纯 HTTP 安全地工作。其中最常见的是Digest，所有主要 Web 浏览器和几乎所有 Web 编程框架都支持它。

使用 Digest 构建网站的缺点是：

• 身份验证是由浏览器本身而不是网站上的登录页面处理的，这看起来不太好，并且不允许您拥有所有周围的帮助程序功能，例如“忘记密码？” 这是我们现在所期待的。

• 如果您没有 SSL 连接，精明的用户可能会担心他们发送的密码不安全（即使事实并非如此），因为他们已经接受过在输入凭据时寻找 SSL 连接的培训。

还有其他方案，例如OAuth，它们在纯 HTTP 上也是安全的，但这实际上更多地适用于 API，而不是网站，因此可能不是您想要的。