¿Hay alguna manera (aparte de la autenticación HTTP, que deduzco inherentemente insegura en Internet) de que un sitio web de "vida real" maneje los inicios de sesión y la autenticación en lugar de la forma tradicional, usando cookies de sesión?¿Hay alguna alternativa viable a la autenticación de cookies "clásica"?
HTTP digest authentication (que es una bestia bastante diferente de la autenticación básica HTTP) es bastante seguro sobre HTTP directo, y no es difícil de implementar en el servidor. No se envía nada por el cable que pueda revelar cuál es la contraseña, solo información que permite al cliente demostrarle al servidor que tiene la contraseña correcta.
Si desea una explicación decente sobre cómo implementar la autenticación resumida HTTP en su aplicación, Paul James has an excellent article on it.
El único problema real con la autenticación HTTP está en los navegadores mismos: la interfaz de usuario es terrible, pero puede ser overcome with some Javascript.
autenticación HTTP no es inseguro cuando se utiliza HTTPS. autenticación básica
HTTP es perfectamente seguro cuando se usa con un SSL (https: //) desde el sitio web se cifrará todo el tráfico HTTP que incluye las credenciales. Sin embargo, un inconveniente subjetivo es que al usar este método, los usuarios deberán interactuar con la ventana emergente de autenticación de su navegador para iniciar sesión en su sitio.
Por lo tanto, cabe suponer que los principales sitios web no utilizan HTTP auth porque SSL consume muchos recursos en ambos extremos. ¿Por qué el usuario podría interactuar con la ventana emergente de autenticación como un problema? Si tuvieran una discapacidad, ¿no tendrían ya mecanismos para superar este problema? –
Sin SSL, cualquier forma de autenticación web es menos segura, por lo que la decisión tiene más que ver con el nivel de seguridad necesario al iniciar sesión y menos con el tipo de autenticación que se utiliza. La preocupación emergente del navegador se trata principalmente de diseño del sitio, ya que puede parecer fuera de lugar y ser discordante para los usuarios –
Al utilizar https, también se puede instalar un certificado en el navegador del cliente y verificar que. myopenid ofrece esto para sus cuentas OpenID. Tengo uno y funciona muy bien (desde el punto de vista del cliente).
Para que quede claro, la única manera de hacerlo es a través de HTTPS.
Pero, ya que supongo que esto no es una opción, y también supongo que busca un sistema de "inicio de sesión completamente gestionada", continúo:
Aparte de HTTPS es posible el uso de JavaScript para hacer hashing seguro de contraseñas en el lado del cliente, para evitar revelar contraseñas de texto sin formato sobre la marcha, pero esto es solo una solución a medias.
Los problemas con este enfoque son:
Otro enfoque es un mecanismo de desafío/respuesta más complicada:
Y los problemas con que:
Ahora, para ser justos, el problema # 2 no es tan grande de un peligro como suena. De hecho, cuando en su lugar utilizas la autenticación HASH, el hash se eleva al nivel de "clave".
En este punto es bastante seguro de usar cookies para almacenar un ReferrenceID inicio de sesión generada aleatoriamente, similar a su ID de sesión, pero el servidor lo desea, puede cifrar utilizando la IP referencia como parte del IV o la tecla para evitar que otros usuarios pirateen el ReferrenceID.
De todos modos, espero que proporcione un poco de dirección en el camino de su diseño.
El uso de SSL para el cifrado en combinación con HttpOnly Cookies para ayudar a prevenir XSS es su mejor opción para usar cookies. No voy a decir que es a prueba de balas, sin embargo.
No protegerá contra XSS, lo hará más difícil de explotar. –
pero todavía se puede aprovechar con un canal interactivo XSS. Eche un vistazo a BeeF, BrowserRaider, XSS Shell y XSS Tunneling –
Gracias por el comentario. Actualicé mi respuesta. –
En primer lugar, HTTP Auth es seguro sobre SSL que no sea el hecho de que no se puede implementar una verdadera funcionalidad de "Cerrar sesión". El usuario debe cerrar su navegador, lo cual es bastante malo.
En segundo lugar, debe usar HTTPS en todos los casos para que sea seguro, después de eso, tiene Basic Auth cosas similares como "Digest" y "NTLM Auth".
Corrección: la autenticación HTTP al usar HTTPS es tan segura como la sesión SSL. – Randolpho
No puede implementar la funcionalidad de cierre de sesión en Basic Auth, eso es bastante basura :) –
Para Firefox, vea estos errores: https://bugzilla.mozilla.org/show_bug.cgi?id=55181 y https: //bugzilla.mozilla .org/show_bug.cgi? id = 287957. Pero sí, estoy de acuerdo. –