保護登錄HTTPS時不可用

Question

我採取一個簡單的登錄系統，在沒有重要的或私人信息的處理或存儲在Web應用程序，我想提供的登錄數據傳輸竊聽保護。

我已經運行HTTPS的Apache模塊，但有時不是在選擇，由於端口的訪問限制和其他一些問題，所以，

爲了不過分複雜化的東西，還提供在那些一個相當不錯的保護的情況下，這裏有一個快速和廉價的協議我的思想，我的關於它的最大的問題是，如果（爲什麼呢，如果你願意）是什麼好還是很大的禁忌做這種解決辦法的：

1. 在登錄表格，客戶端接收2個隨機長度（不能太短不能太長）的文本串（其中服務器生成並保持在$ _SES SION var只是一個檢查）以及服務器的公共gpg密鑰。

2. 用戶+字符串1和通+字符串2是JavaScript的GPG編碼發送給服務器之前用服務器的公鑰。

3. 服務器恢復發送的登錄信息GPG與私鑰和去除串解密，哈希值傳遞一個檢查，如果有存儲爲用戶匹配，返回登錄錯誤/授權訪問應用程序與用戶的配置文件，直到結束會議。

我明白這只是保護的登錄信息（而不是針對任何中間人攻擊僞造的服務器，如果我需要這個，我只想逼HTTPS），這與一些基本的會話ID盜竊保護相結合技術應該可以防止被動竊聽者通過竊取憑證來訪問系統，如果我是對的。

我應該實施這個還是浪費時間和資源？

Answer 1

保護登錄時，你灑真正的認證令牌（會話ID）幾毫秒之後是沒有意義的。會話ID在整個生命週期內都必須使用HTTPS進行保護，但在任何情況下都不能通過純文本傳輸此值，否則您將明顯違反OWASP a9。

攻擊者都喜歡： 「Oah很好，你爲我認證了這個會話，我只是拿這個cookie值並且以該用戶身份驗證，謝謝！」