机器对机器的密码生命周期答案

【问题标题】：Password Life Cycle for Machine to Machine机器对机器的密码生命周期
【发布时间】：2016-11-16 01:45:55
【问题描述】：

想看看有没有实现以下的机制：

服务器S运行版本A；客户端C运行版本A

客户端使用 REST over TLS 与服务器通信。

几个月后，管理员更改了服务器上的 REST 密码。我们如何更新客户端的密码？

【问题讨论】：

这可能更像是一个服务器故障问题而不是堆栈溢出问题，但我会尝试一下。好的，所以，您可能想问自己为什么会有这个 1 REST 密码。为什么您的用户帐户没有自己的身份验证，它不受您升级到 REST API 的影响，并且还具有密码重置功能以备不时之需？另外，为什么升级会破坏您的 REST API？我将 Jersey 和 Swagger 用于我的 REST API，虽然包会定期升级，因此我的其他服务器端软件也需要升级，但 REST API 没有更新
这会破坏查询。客户 5 - 7 年前写的查询今天仍然有效，那为什么这对客户来说是个问题呢？另外，您不是将密码哈希存储在数据库中吗？那么为什么对 REST API 库的更改会影响数据库的内容（即哈希）？
@Hack-R，它是机器对机器的。所以没有单独的用户帐户。我试图实现的正是这种密码重置行为。对于第二部分，你是对的。让我编辑问题以删除第二部分。

【解决方案1】：

据我所知，您的问题基本上可以归结为以下几点：

当某个客户端系统C依赖于访问服务器系统S，而S的密码被更改时，C如何轻松获知并收到新密码?

答案当然是“视情况而定”，或者可能是“随心所欲”。如果有一些第三方系统C和'S'都可以以安全的方式访问，那么也许他们都可以定期从那里获取密码，但是你遇到了安全访问的问题那个服务。

S是否必须公开面对？如果可能，更好的解决方案可能是通过 VPN（或其他概念上类似的解决方案？）运行从 C 到 S 的整个呼叫。这样你就可以将整个过程“包装”到一个安全的连接中，这也许可以（？）完全消除对密码的需求。

【讨论】：