jCryption + CRAM - хорошая альтернатива SSL?
Я хотел бы знать, является ли jCryption + Challenge Response Authentication Mechanism хорошей альтернативой SSL.
Я знаю, что SSL намного лучше, но я делаю проект, в котором владелец не хочет покупать SSL-сертификат, и я хотел бы найти решение, которое обеспечит наилучший подход к безопасности, который можно было бы приобрести без использования SSL.
Есть идеи?
4 ответа
Нет, это не так.
Я могу думать о многих причинах: HTTP-заголовки по-прежнему не зашифрованы, обмен ключами уязвим для атак "человек посередине", и вы очень доверяете клиентской стороне. код.
Просто используйте бесплатный SSL-сертификат от Startcom.
В информационном разделе jCryption:
jCryption в его текущем состоянии не заменяет SSL, потому что нет аутентификации, но основной целью jCryption должен быть очень простой и быстрый в установке плагин, который предлагает базовый уровень безопасности.
Это довольно очевидно. Этот плагин никоим образом не является заменой SSL и не должен быть таким. Целью является не высокотехнологичная безопасность.
Если вам нужна безопасность, которой можно доверять любым способом, просто купите SSL-сертификат. Или сделай свой, если хочешь.
Вы можете быть заинтересованы в этой статье:
Вы можете попробовать использовать оспаривающий протокол соглашения об аутентификации (CAAP). Я предлагаю для алгоритмов, которые вы используете RSA и Serpent в режиме CTR, к каждому сообщению добавляется код аутентификации HMAC-SHA-512. Это может быть безопасно реализовано с минимальными знаниями. Хотя хорошо настроенная система SSL, вероятно, будет еще проще и безопаснее.
Вы всегда можете запустить свой собственный центр сертификации внутри организации, если это не общедоступный сервер. Таким образом, SSL-сертификаты не будут стоить вам руки и ноги.
J Cryption намеревается предложить только вторичную защиту ваших конфиденциальных данных. SSL всегда является вашим основным механизмом шифрования и защиты.
Поскольку большинство веб-сайтов полностью зависят от SSL-сертификата для защиты, разрабатываются новые способы взлома или кражи сертификатов. В случае кражи вашего сертификата вы подвергаетесь атаке человека в середине. И здесь в игру вступает jCryption. Хакер по-прежнему не может иметь значимого доступа к вашим конфиденциальным данным, если у вас есть вторичная защита (что-то вроде двухфакторной аутентификации).
Надеюсь это поможет.