2

ユーザーがサードパーティの資格情報を使用して自分のサイトにログインできるようにしています (SocialFoo と呼びましょう)。ユーザーは、POST over HTTPS 経由で SocialFoo のユーザー名とパスワードを送信します。POST が作成された後、サーバー側で、SocialFoo への API 呼び出しを介して資格情報を検証します。

HTTP ではなく HTTPS 経由で SocialFoo への API 呼び出しを行うことには、セキュリティ上の利点がありますか? この要求は理論的にはユーザーに公開されないため、データ センターでのパケット スニファ以外のセキュリティ リスクはありますか?

4

4 に答える 4

1

通常、セッションがアクティブなリストでは、リクエストごとに認証トークンがサーバーに送信されます。このトークンがネットワーク経由でキャプチャされて改ざんされるのを防ぐには、認証アクセスを必要とするすべてのページで SSL を使用するようにしてください。

于 2012-10-27T06:57:49.543 に答える
0

はい

情報が安全に送信されない場合、情報が盗まれる危険性が常にあります。一般的な経験則として、出入りするすべての機密データは暗号化する必要があります。HTTPS を使用することは「セキュリティ上の利点」であるだけでなく、要件であるべきです。

于 2012-10-27T06:54:24.360 に答える
0

あなたの特定の質問に対する答えはノーだと思います。SSL 暗号化は、ネットワーク上で送信されるネットワーク トラフィックを保護するために使用されます。両方のサーバーが同じローカル ネットワーク上にあり、そのネットワークが 1 つのデータ センター内にある場合、ssl を使用する唯一の理由は、そのデータ センター内のネットワークを脅威から保護することです。もう 1 つの問題は、ローカル ネットワーク上の脅威から保護しないことが適切なセキュリティ プラクティスであるかどうかです。

于 2012-10-28T16:53:40.623 に答える
0

あなたとリモートホストの間のトラフィックを誰かが盗聴することを除けば、実際にはリスクはありません. ただし、SSL は、適切に使用すれば、まさにそれからあなたを保護します。暗号化は、監視されている場合にのみデータが理解されるのを防ぎ、認証により、データが改ざんされていない可能性が高いことを知らせます。

データ センターのスニファに関する具体的な質問... 両方のホストが同じスイッチの下のデータ センターに配置されている場合は、おそらく問題ありません。そうでない場合は、両方のホストに両方のスイッチをレンタルしていると仮定して、2 つのスイッチ間の VLAN ブリッジングについて尋ねる必要があります。

データセンターで 2 つを接続して橋渡しすることができない場合は、SSL またはその他のよく使用されるスキームを使用することをお勧めします。スイッチの下の (場合によってはさらに) トラフィックを簡単に確認したい場合は、tcpdump (Linux) または Wireshark (Windows) を実行してください。

SSL を使用してください。16384 ビット キーを使用し、独自の CA を実行してリアルタイムの CRL チェックを行い、1 秒あたり 1,000 接続を超える必要がない限り、最近ではパフォーマンスに実際の問題はありません。または、古いハードウェアを使用している... その場合は、少なくとも 2048 ビット キーを使用してください。

また、お客様のビジネスまたは送信の内容によっては、お客様の国の規制として、データを保護するか、少なくとも何らかの機密保持または認証を維持するための合理的な試みを行うことが必要になる場合があります。

追加のメモ: リクエストはユーザーに公開されないため、SSL は必要ないかもしれないと述べました。SSL はユーザーのデータを保護します。ユーザーがプロトコルをリバース エンジニアリングしたり、送信前にデータを改ざんしたりするのを防ぐことはできません。私はあなたの主張を誤解しているかもしれませんが、私はこれをそこに捨てると思いました.

于 2012-10-28T17:20:21.297 に答える