簡單的跨站點共享登錄

Question

目前正在工作的潛在合作伙伴的技術障礙很大。 我們希望包含跨站點登錄，但SSO/Oauth可能有點大塊。

對安全和輕量級令牌傳遞/握手的任何建議？我們不需要像Oauth這樣的無縫集成，他們只是碰到一個網站，並且已經登錄，擁有一個標記化的URL，將它們帶到另一個網站很好

有點像過去那些你打的帶鍵/值的遠程站點 - 他們會確認你並返回1/0 ......當然，這有潛在的中間人攻擊

有什麼想法嗎？

Answer 1

如何做像openid正在做的事情？

首先，服務提供商和身份提供商共享密鑰（http://en.wikipedia.org/wiki/Diffie%E2%80%93Hellman_key_exchange）。這是服務器到服務器的通信。

再認證，用戶名密碼等等等等填充像往常一樣

然後身份提供商發送HTTP重定向（用戶可以看到正在發生的事情），與所有必要的信息（用戶的身份，時間戳等）的服務提供商+一個消息認證碼（由所有必要的信息和由diffie-hellman交換機交換的密鑰組成）。看到有關消息認證碼在http://en.wikipedia.org/wiki/Message_authentication_code

則服務提供商驗證MAC碼（因爲這服務提供者知道密鑰），以確保該http請求確實來自身份提供商的重定向