http / https login

а зачем на лоре https? тут вроде ничего секретного нет

Присоединяюсь.
CPU нечем занять?

https://linux.org.ru уже есть, там green'a страница :-)

http://cert.startcom.org/

Most software vendors like Mozilla (Firefox), Apple (Safari) and KDE (Konqueror) already approved the StartCom Certification Authority and is scheduled to be included in most popular browsers and mail clients. Sometimes you still have to import our CA certificate into your browser.

остальное либо платно - либо триал на пару месяцев

Я сгенерировал сертификат на http://cacerts.com/ для доступа к SVN/Trac. Броузеры его, правда, тоже не едят по-умолчанию. Но это лучше чем самоподписанный сертификат.

Если верить этому, то только опера да осел "остались"

http://cert.startcom.org/?app=140

:)))

У Verisign/Thawte дорого, а вот здесь за $18 в год: https://www.godaddy.com/gdshop/ssl/ssl.asp?ci=8979. Хотя сам только с Thawte дело имел. :-) Кстати, если HTTPS используется только при логине, это ни от чего не защищает.

> У Verisign/Thawte дорого, а вот здесь за $18 в год: https://www.godaddy.com/gdshop/ssl/ssl.asp?ci=8979. Хотя сам только с Thawte дело имел. :-) Кстати, если HTTPS используется только при логине, это ни от чего не защищает.

Хочется чтобы пароль при аутентификации не передавался открытым текстом

>Хочется чтобы пароль при аутентификации не передавался открытым текстом

Зато кукисы после авторизации будут передаваться открытым текстом, если там не будет HTTPS.

BTW, если страница, на которой форма ввода пароля, передавалась через HTTP, man-in-the-middle может поменять action у формы, и пароль уйдет на его сервер.

2 maxcom:

Насчёт пароля - реализовать любую challenge response схему - дело пяти минут - скрипты в google'е за пять минут ищутся.

Зачем SSL?

Да, а cookies для безопасности нужно тоже obfuscate по challenge response алгоритму с _использованием_ IP.

Тогда даже если у тебя печенье стырят, то съесть его не смогут ;-)

>Да, а cookies для безопасности нужно тоже obfuscate по challenge response алгоритму с _использованием_ IP.

А теперь вспоминаем про NAT.

Да, и ты правда думаешь, что если смогли перехватить трафик, то не смогут заменить его своим, происходящим с твоего же IP?

Всё-таки у svyatogor'а пароль свистнули?

присоединюсь к вопросу :)

> Зато кукисы после авторизации будут передаваться открытым текстом, если там не будет HTTPS.

я еще не читал про всякие challenge-response, но

1) если в хеш куки генерировать из 2-х состовляющих : passwd + ip , то это спасет или нет? :)

2) если смотреть пример gmail.com , то у них URL это сам url+hash, что в общем-то не слишком красиво смотрится. Копировать такие ссылки опять же не удобно. Все эти самые challenge-response алгоритмы, на такой схеме работают?

Какой ленивый народ - первая ссылка в Google:

http://en.wikipedia.org/wiki/Challenge-response_authentication

http://ru.wikipedia.org/wiki/%D0%92%D1%8B%D0%B7%D0%BE%D0%B2-%D0%BE%D1%82%D0%B...

(Да, русский перевод меня просто убивает: Вызов-ответ (авторизация). А на меня всё наезжают по поводу English'a).

Взлом практически невозможен.

Пример реализации: http://en.wikipedia.org/wiki/CRAM-MD5

>Взлом практически невозможен.

Если ты софта сложнее снифферов в жизни не видел. :-)

> Если ты софта сложнее снифферов в жизни не видел

По какой бы дороге ни шел глупый, у него всегда недостает смысла, и всякому он выскажет, что он глуп.

birdie, раз ты у нас такой умный, объясни мне пожалуйста, как challenge response защитит от man-in-the-middle атак, которые изменяют ответ сервера?

эээ... ну про challenge-response алгоритмы в общих чертах я был вкурсе. ты бы еще 'man openssl' сказал, мол в нем и примеры. Мне интересно конкретные реализации этого или пример для web-аутентификации где-нибудь есть?

возьми любую реализацию APOP - правда клиентскую часть придётся на JavaScript переписывать ;-)

А ведь вы сначала про снифер кричали ... ;-)

Если человек устроил man-in-the-middle, то у него будут другие более простые способы взломать аутентификацию ...

А серверную на Java ;-)

JavaScript:

http://www.google.com/codesearch?q=APOP+lang%3Ajavascript&hl=en&btnG=...

Java:

http://www.google.com/codesearch?q=APOP+lang%3Ajava&hl=en&btnG=Search...

>А ведь вы сначала про снифер кричали ... ;-)

Ну так твоя защита только от сниферов и защищает.

>Если человек устроил man-in-the-middle, то у него будут другие более простые способы взломать аутентификацию ...

Ну так на то и есть HTTPS. :-)