此HTTPS身份验证协议安全吗？

Question

我们当前正在设计需要身份验证协议的智能手机应用程序。 我们将对所有消息使用HTTPS。 这个想法如下：

1. 客户端与服务器联系，并使用其用户名/密码进行身份验证。
2. 服务器用存储在数据库中的随机生成的令牌答复。
3. 要联系服务器，客户端现在使用其用户/令牌组合。
4. 在他发送的每条消息中，服务器都有一定的概率重新生成它包含在其发送的消息中的新令牌。

问题是：使用此协议会遇到安全问题吗？

注意：密码和令牌以散列方式存储在数据库中。

Answer 1

安全性基于用于加密的证书。 通常，这足够了，您还可以检查它是否为预期的证书。 如果您自己检查证书的指纹，则可以确保（如果使用sha1或更高版本）证书来自您，而不是中间攻击的成功者。 例如，NSA可以简单地为您的域创建有效的证书，但是AFIK不可能生成具有相同指纹的第二个证书。

顺便说一句，我希望密码和密码也能正确处理。 这很重要，因此不可能看到两个客户使用相同的密码，而且这也增加了哈希的复杂性，这意味着用彩虹表破解这种密码将花费更多的时间。