http/html авторизация

[apprentice]

Подскажите плз существует ли стандартный механизм http/html (не https!) авторизации при котором пароль не передается в открытом виде даже во время регистрации.

Т.е так что бы перехват пароля был невозможен даже при анализе всего http трафика.

[eddy]

Подскажите плз существует ли стандартный механизм http/html (не https!) авторизации при котором пароль не передается в открытом виде даже во время регистрации.

Т.е так что бы перехват пароля был невозможен даже при анализе всего http трафика.

Получайте при помощи javascript sha-сумму пароля и отсылайте серверу. Но от перехвата это вас не спасет
Используйте https, чем вам это не нравится? Могу свою реализацию подкинуть.

[apprentice]

Получайте при помощи javascript sha-сумму пароля и отсылайте серверу.

Сам я, конечно, могу сделать все что угодно, хоть механизм электронной подписи использовать, и вообще пароль не передавать на сервер, но сейчас меня интересует существует ли стандартный механизм для этого.

А https для моих целей избыточен.

[eddy]

А https для моих целей избыточен.

http ничего не шифрует. Так что вы хоть расшибитесь, но кто угодно сможет пройти процедуру аутентификации через http, если перехватит ваш запрос. А чем вам https-то не нравится? Настраивать - пару минут Делаете перенаправление на https-форму ввода пароля/логина, а затем при прохождении аутентификации - перенаправление обратно на нешифрованное соединение.

Кстати, если уж так хотите только http, можно при помощи javascript реализовать механизм "рукопожатия" наподобие ssh. Но все равно придется придумывать, как клиент будет получать ключ. И опять придется использовать https (но в этом случае - лишь для самого первого обращения, или при удалении клиентом cookies).

[apprentice]

eddy

Я просто не хочу изобретать очередной велосипед Если стандартных механизмов не существует, значит сделаем что-нибудь свое, особая секретность не нужна, просто хочется выглядеть солидно

[eddy]

eddy

Я просто не хочу изобретать очередной велосипед Если стандартных механизмов не существует, значит сделаем что-нибудь свое, особая секретность не нужна, просто хочется выглядеть солидно

Если вам интересно, почитайте.

[watashiwa_daredeska]

http://tools.ietf.org/html/rfc2617#section-3
Однако, перехват пароля все-таки возможен с off-the-shelf браузерами при помощи MitM. Разве что запретить в клиентском софте Basic Authentication совсем.

[ТВЭЛ]

Делаете перенаправление на https-форму ввода пароля/логина, а затем при прохождении аутентификации - перенаправление обратно на нешифрованное соединение.

Не очень хороший вариант, потому что браузер будет выкидывать предупреждение о небезопасности передачи данных в таком случае.

[watashiwa_daredeska]

потому что браузер будет выкидывать предупреждение

Не будет. Сейчас так все openid-авторизации устроены через формочки на сторонних сайтах, и ничего.

[eddy]

потому что браузер будет выкидывать предупреждение

Не будет. Сейчас так все openid-авторизации устроены через формочки на сторонних сайтах, и ничего.

Подтверждаю. В том же гугле авторизация работает именно так.
А если ключ авторизации выдается лишь на сессию, шансов, что его перехватят, намного меньше.

[ТВЭЛ]

Кажется, я понял. Предупреждение появляется только в том случае, если передаёшь какую-то форму с https на http. Правильно?

[watashiwa_daredeska]

Предупреждение появляется только в том случае, если передаёшь какую-то форму с https на http. Правильно?

Да.