哪些認證方法在不安全的HTTP通道上安全？

Question

是否存在任何在不安全通道上安全的認證協議？會話ID很容易被MitM劫持，所以使用哪種機制在不安全的HTTP信道上保證會話安全？

Answer 1

通過HTTP對服務器進行身份驗證是有問題的，因爲沒有服務器證書，您無法確定您實際上是否與預期的服務器通信。而且，發送到服務器的任何憑證都易於甩掉。

話雖如此，一旦服務器和客戶端通過安全通道交換密鑰，就可以通過HTTP安全地使用身份驗證協議。像Hawk或AWS signatures這樣的協議不需要每個後續請求都使用HTTPS。