【问题标题】：Alternatives to HTTPS [closed]HTTPS的替代品[关闭]
【发布时间】：2012-08-13 15:48:51
【问题描述】：
当被要求研究对我公司的网站进行身份验证时，我最终使用了 htaccess 和 htpasswd。现在我被要求寻找更安全的解决方案。我被建议注意的一种情况是嗅探。我环顾四周，发现 HTTPS 似乎是我正在寻找的解决方案。
如果身份验证仅由我们的员工访问并允许他们访问数据库。这个数据库上的活动应该很轻。我的印象只是说......每个会话 5 个查询，检索到的数据也很轻量级。
根据我的阅读，似乎 HTTPS 是我应该押注的地方。我在身份验证和加密方面的知识几乎为零，所以我想知道是否还有其他选项可以为我们的网站进行安全身份验证。
【问题讨论】：
标签：
.htaccess
authentication
encryption
https
【解决方案1】：
HTTPS 主要提供：
后者是针对中间人和假冒攻击的重要措施。想想有人冒充服务器并欺骗客户端提交密码等敏感数据。
请注意 - 为了工作 - 服务器必须具有由客户端浏览器识别的 CA 签名的 SSL 证书。这可以是由 Verisign 等商业 CA 获得的 SSL 证书，也可以是所有用户必须导入到证书存储中的自定义 SSL 证书。
底线，HTTPS 保护您免受欺骗攻击，但前提是证书设置正确。不过，请务必禁用纯 HTTP，否则攻击者可能会尝试 downgrade 攻击。
使用 HTTPS，您可以使用多种方法中的任何一种来验证客户端到服务器，包括您现在使用的任何方法（我猜是 HTTP Basic 或 Digest）。其他选项包括 Kerberos、旧 NTLM、RADIUS 或客户端 SSL 证书。