LINUX.ORG.RU
Форум — Linux-org-ru  

http / https login


0

0
галку на login форму 'использовать https' . вопрос в том, сертификат на сервер свой генерить или есть все-таки в жизни счастье и можно бесплатный нормально рабочий получить? (чтобы браузер не выдавал предупреждения, .... и про сыр я тоже знаю, но платить $300 +-100 в год - сумашедших нет)
★★★★★
← Новые тролли
ого, за такое тоже удаляют! →
http://cert.startcom.org/

Most software vendors like Mozilla (Firefox), Apple (Safari) and KDE (Konqueror) already approved the StartCom Certification Authority and is scheduled to be included in most popular browsers and mail clients. Sometimes you still have to import our CA certificate into your browser.

остальное либо платно - либо триал на пару месяцев

AcidumIrae ★★★★★
()
Я сгенерировал сертификат на http://cacerts.com/ для доступа к SVN/Trac. Броузеры его, правда, тоже не едят по-умолчанию. Но это лучше чем самоподписанный сертификат.
maxcom ★★★★★
()
Ответ на: комментарий от true
> У Verisign/Thawte дорого, а вот здесь за $18 в год: https://www.godaddy.com/gdshop/ssl/ssl.asp?ci=8979. Хотя сам только с Thawte дело имел. :-) Кстати, если HTTPS используется только при логине, это ни от чего не защищает.

Хочется чтобы пароль при аутентификации не передавался открытым текстом

maxcom ★★★★★
()
Ответ на: комментарий от maxcom
>Хочется чтобы пароль при аутентификации не передавался открытым текстом

Зато кукисы после авторизации будут передаваться открытым текстом, если там не будет HTTPS.

BTW, если страница, на которой форма ввода пароля, передавалась через HTTP, man-in-the-middle может поменять action у формы, и пароль уйдет на его сервер.

true
()
2 maxcom:

Насчёт пароля - реализовать любую challenge response схему - дело пяти минут - скрипты в google'е за пять минут ищутся.

Зачем SSL?

birdie ★★★★★
()
Ответ на: комментарий от birdie
Да, а cookies для безопасности нужно тоже obfuscate по challenge response алгоритму с _использованием_ IP.

Тогда даже если у тебя печенье стырят, то съесть его не смогут ;-)

birdie ★★★★★
()
Ответ на: комментарий от birdie
>Да, а cookies для безопасности нужно тоже obfuscate по challenge response алгоритму с _использованием_ IP.

А теперь вспоминаем про NAT.

Да, и ты правда думаешь, что если смогли перехватить трафик, то не смогут заменить его своим, происходящим с твоего же IP?

true
()
Ответ на: комментарий от true
> Зато кукисы после авторизации будут передаваться открытым текстом, если там не будет HTTPS.

я еще не читал про всякие challenge-response, но

1) если в хеш куки генерировать из 2-х состовляющих : passwd + ip , то это спасет или нет? :)

2) если смотреть пример gmail.com , то у них URL это сам url+hash, что в общем-то не слишком красиво смотрится. Копировать такие ссылки опять же не удобно. Все эти самые challenge-response алгоритмы, на такой схеме работают?

anonymous
()
Ответ на: комментарий от anonymous
Какой ленивый народ - первая ссылка в Google:

http://en.wikipedia.org/wiki/Challenge-response_authentication

http://ru.wikipedia.org/wiki/%D0%92%D1%8B%D0%B7%D0%BE%D0%B2-%D0%BE%D1%82%D0%B...

(Да, русский перевод меня просто убивает: Вызов-ответ (авторизация). А на меня всё наезжают по поводу English'a).

Взлом практически невозможен.

birdie ★★★★★
()
Ответ на: комментарий от true
> Если ты софта сложнее снифферов в жизни не видел

По какой бы дороге ни шел глупый, у него всегда недостает смысла, и всякому он выскажет, что он глуп.

birdie ★★★★★
()
Ответ на: комментарий от birdie
birdie, раз ты у нас такой умный, объясни мне пожалуйста, как challenge response защитит от man-in-the-middle атак, которые изменяют ответ сервера?
true
()
Ответ на: комментарий от birdie
эээ... ну про challenge-response алгоритмы в общих чертах я был вкурсе. ты бы еще 'man openssl' сказал, мол в нем и примеры. Мне интересно конкретные реализации этого или пример для web-аутентификации где-нибудь есть?
mator ★★★★★
() автор топика
Ответ на: комментарий от true
А ведь вы сначала про снифер кричали ... ;-)

Если человек устроил man-in-the-middle, то у него будут другие более простые способы взломать аутентификацию ...

birdie ★★★★★
()
Ответ на: комментарий от birdie
>А ведь вы сначала про снифер кричали ... ;-)

Ну так твоя защита только от сниферов и защищает.

>Если человек устроил man-in-the-middle, то у него будут другие более простые способы взломать аутентификацию ...

Ну так на то и есть HTTPS. :-)

true
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Новые тролли
Linux-org-ru
ого, за такое тоже удаляют! →