appengine http安全嗎？

Question

一個簡單的問題，我想。

如果我使用谷歌的用戶帳戶中的AppEngine

from google.appengine.api import users 

我的用戶進行身份驗證，如何安全是我的應用程序在HTTP下的剩餘部分（不是HTTPS），即。這種設置的弱點在哪裏？

感謝

Answer 1

您的問題尚不清楚，但如果您詢問是否在HTTP應用上使用Google帳戶驗證用戶是否可能向攻擊者公開密碼，答案是否定的。

即使您的應用程序未使用SSL，也不會以純文本傳輸密碼。身份驗證開始後，用戶將被重定向到google.com上的安全頁面以輸入其憑據。憑證通過SSL發佈，如果身份驗證成功，Google會生成一個身份驗證令牌，該令牌會傳回您的應用並存儲在Cookie中。用戶API使內部RPC將該令牌解析回Google憑證。

攻擊者可以做的最多的事情是攔截身份驗證令牌並在令牌有效期內欺騙用戶（默認情況下爲1天;最多可配置爲2周）。他們永遠無法訪問密碼。爲防止欺騙，您需要確保所有登錄的活動都發生在HTTPS上，並且auth cookie永遠不會通過HTTP存儲。

Answer 2

假設任何你發送HTTP上可以被攔截和攻擊者檢查。這包括您在瀏覽器中存儲的任何令牌以對其進行身份驗證 - 攻擊者也可以看到此消息，並用它來僞造請求。

如果這聽起來像您不需要擔心的「主題」漏洞，那麼您應該不會做任何涉及保護用戶數據的事情，除非您閱讀了FireSheep並瞭解它的工作原理以及如何工作防止類似的東西。 （這只是你需要了解的攻擊的一個例子，它不是唯一可能的攻擊）。

總之，這樣的設置的弱點在於你使用http發送任何東西想保持私密。