Khi tôi sử dụng HTTP BASIC authentication cùng với HTTPS, tên người dùng và mật khẩu có được chuyển an toàn đến máy chủ không?Xác thực HTTPS và BASIC
Tôi sẽ rất vui nếu bạn có thể giúp tôi với một số tham chiếu.
Ý tôi là, sẽ rất tuyệt nếu tôi có thể trích dẫn StackOverflow Q & A làm tài liệu tham khảo, nói, bài tập, báo cáo, kỳ thi hoặc thậm chí trong bài báo kỹ thuật. Nhưng tôi nghĩ tôi chưa có ở đó.
có. nếu bạn đang sử dụng https, cuộc trò chuyện với máy chủ web hoàn toàn được mã hóa.
+1. Ngay cả thực tế là Basic Auth đang diễn ra cũng không thể được thiết lập từ bên ngoài. – Thilo
@Thilo: Cảm ơn bạn; Bạn có thể giúp tôi với một số tài liệu tham khảo? –
[Stripe] (https://stripe.com/docs/api#authentication) thực hiện như thế này (và chúng xử lý các giao dịch thẻ tín dụng). – greatwitenorth
Xác thực cơ bản HTTP và HTTPS đều là các khái niệm khác nhau.
Xin lưu ý: Có sự khác biệt giữa ủy quyền và bảo mật. Ủy quyền HTTP cơ bản là một khái niệm cấp phép không phải là bảo mật
CÓ. Trong trường hợp của bạn, thông báo HTTP với tên người dùng và mật khẩu sẽ được mã hóa và sau đó được gửi đến máy chủ.
Xác thực HTTP cơ bản, không được ủy quyền, đó là một khái niệm khác. – Bruno
Cho phép tôi có nghĩa là tiêu đề "401 trái phép" theo RFC 2617. Xin lỗi vì đã gây nhầm lẫn – Alam
Cũng cần lưu ý rằng HTTPS cũng cung cấp các cách để xác thực (đăng nhập dựa trên chứng chỉ), không chỉ mã hóa - Xác thực HTTP cơ bản không cần thiết ở đó. –
Vâng, họ được thông qua một cách an toàn ... nếu một hacker có thể giải mã giao dịch https ông có thể chắc chắn giải mã người dùng base64: mật khẩu ...
Tôi biết những tảng đá nhiều bạn đặt càng khó mất. .. nhưng base64 không phải vì lý do bảo mật
Bạn có thể nêu rõ cách bạn đã nhảy từ xác thực HTTP BASIC đến base64 không? –
Mật khẩu xác thực cơ bản được mã hóa base64. Các chuỗi này sau đó được mã hóa bằng SSL. – bnieland
Nếu một công cụ như Fiddler được cài đặt trên hệ thống cục bộ của bạn, nó có thể được sử dụng để chuyển tiếp truyền dẫn https của bạn được giải mã cho bên thứ ba. Nếu ai đó thiết lập để làm điều này, họ đã sở hữu hệ thống của bạn (hoặc có quyền truy cập vật lý hoặc truy cập đầy đủ/root).
Câu hỏi khác của tôi có câu trả lời rất hay cũng trả lời câu hỏi này: http://stackoverflow.com/questions/3563957/https-url-path-and-query-string –