什麼是在認證過程中將登錄名和密碼從客戶端傳遞到服務器的安全方式？

我剛剛設置了一個代理並通過該代理運行我的所有請求。什麼是在認證過程中將登錄名和密碼從客戶端傳遞到服務器的安全方式？

我調查了幾個不同的應用程序：他們通過登錄名和密碼對raw，即我可以從POST請求參數中獲取它們。

它應該如何實施才能使它更安全？（我還沒有調查Gmail和Facebook，但我認爲他們沒有這個問題，否則任何網吧都可以收集其客戶的所有賬戶）。

P.S.我調查了用JSP和GWT編寫的網站。

2010-10-25 Roman

如果你有興趣在GWT的安全性，你可以找到很多的信息[這裏]（http://stackoverflow.com/questions/3089665/how-do-i-implement-a-login-screen-in-gwt ）和[這裏]（http://stackoverflow.com/questions/2974100/question-on-gwt-cookies-and-webpage-directing） – Piotr 2010-10-25 18:12:06

使用HTTPS連接。
配置爲您的應用SSL

來源

2010-10-25 12:13:20

是否有記錄https請求然後重現它的根本問題？ – Roman 2010-10-25 12:31:04

@羅曼，是的，請查看http://en.wikipedia.org/wiki/Transport_Layer_Security#How_it_works中的安全部分 – 2010-10-25 12:36:02

如果您使用的是Web服務器，爲何不打開SSL？（即在web配置文件中指定您希望SSL開啓 - 請參閱服務器的文檔）

來源

2010-10-25 12:13:09 Marm0t

我同意其他答案：使用HTTPS（TLS）。它將確保傳輸，包括防禦重播攻擊，中間人等。儘管沒有什麼是完美的（例如見TLS Renegotiation Attack），但你可以認爲TLS非常成熟。

但考慮您的發言：

任何互聯網網吧可以收集客戶

是的，不幸的是這仍然是真實的，即使你使用HTTPS的所有帳戶：任何網吧可以安裝鍵盤記錄器，一個修改過的瀏覽器，...

那麼它足以讓你保護頻道，或者你還需要認證客戶端？您也可以使用HTTPS來做到這一點 - 但這意味着您必須創建客戶端證書並將其安裝在您信任的計算機（用戶帳戶）上。根據您的要求（高安全性，只有公司用戶......），這可能是一個好方法，或不是（例如爲大衆提供的網站）。

來源

2010-10-25 13:15:53

什麼是在認證過程中將登錄名和密碼從客戶端傳遞到服務器的安全方式？

回答

相關問題