安全认证协议

Question

我正在寻找一种简单的身份验证协议（OpenID，Active Directory，??）供用户登录我的网站。 它托管在Windows Azure上。 需要高度的安全性。 您能推荐什么？为什么选择这种选择？

注意：目前，我将不会使用SSL，因此无法传输纯文本密码。 但是，将来我将过渡到SSL环境。

Answer 1

您的站点/服务将通过有线传输的数据是私有的，敏感的，专有的等吗？ 如果是这样，则必须实施SSL，以防止具有数据包嗅探器的任何人直接从线路中窃取数据。

为了执行安全身份验证，您将需要使用SSL之类的东西来建立安全的通信传输，通过该传输可以从身份提供者请求并接收SAML（或类似的）身份令牌。

如果您不使用SSL来保护您的通信，那么对于恶意的第三方来说，窃取身份标记并伪装成经过身份验证的用户和/或为系统中的任何用户记录/监视/修改每个请求都是很简单的！

您不使用SSL的原因是什么？