安全認證協議

Question

我在尋找一個簡單的身份驗證協議（OpenID的，活動目錄，??），用於用戶登錄到我的網站。它在Windows Azure上託管。高度的安全性是必需的。你可以推薦什麼，爲什麼這個特殊的選擇？

注：在這個時間點，我將不會使用SSL所以沒有明文密碼可以被傳輸。然而，我將在未來轉換到SSL環境。

Answer 1

那是你的網站/服務將橫跨電線私下傳輸數據，敏感的，專有的，等等？如果是這樣，那麼您必須實施SSL才能防止任何擁有數據包嗅探器的人能夠直接從線路中擷取數據。

爲了執行安全認證，您將需要使用像SSL建立安全通信的傳輸上，你可以請求並從身份提供商接收SAML（或類似）的身份令牌。

如果您不使用SSL來保護您的通信，那麼惡意第三方竊取身份令牌並僞裝成經過身份驗證的用戶和/或記錄/監控/修改您的任何用戶的每個請求系統！

你有什麼理由不使用SSL？