基于令牌的身份验证是否安全

Question

任何请求都是通过 HTTPS 发出的，令牌通过以下方式传输：

a) 获取https://foo.dom/foobar?auth_token=abcxyz

b) GET https://foo.dom/foobar 带有 HTTP 标头，例如 X-FOOBAR-TOKEN: abcxyz

据我了解 SSL，在 HTTP 请求的情况下，客户端首先协商 SSL 连接，并且仅在成功建立安全连接的情况下传输其他参数和/或 HTTP 标头。

到目前为止我是对的吗？

感谢任何建议。 费利克斯

Answer 1

SSL 为您购买传输加密，因此在从站点发送/接收身份验证令牌时，任何人都无法获取它。可以针对 SSL 执行一些中间人攻击，但通常 SSL 应该保护令牌内容。

安全性的成败取决于令牌本身是否具有加密安全性。如果这可以说是真的，那么你就是金。看看这个网站http://web.mit.edu/kerberos/dialogue.html。

还有很多其他网站使用安全令牌进行身份验证，请参阅：http://docs.amazonwebservices.com/AmazonS3/latest/dev/index.html?RESTAuthentication.html。