是否可以在没有 SSL 的情况下进行安全、宁静的身份验证？

Question

是否可以在不使用会话、cookie 和 SSL 的情况下进行安全身份验证？

我查看了其他协议，例如 SRP 和 Diffie-Hellman，但最后你必须通过网络发送密钥证明，这很容易受到“中间人”攻击......

Answer 1

只要在连接之前没有进行一些通信（私下交换密钥，因此您可以加密消息等），没有在网络上使用 SSL 就没有任何安全性。

Answer 2

如果没有一些预先共享的信息，中间人攻击没有什么是安全的。 你总是需要一些预先共享的信息来防止中间人。 如果您只想避免被动窃听，则不需要预先共享信息。

SSL 效果最好的主要原因是您拥有预先共享的安全信息 - 证书。 Web 浏览器已经与它捆绑在一起。 例如，在 Firefox 中查看工具/选项/高级/加密/查看证书/权限，然后选择证书并单击查看。

您当然可以拥有基于预共享信息的不同加密协议，因此原则上可以不使用 SSL。 但在当前实践中，与 Web 浏览器捆绑在一起的唯一预共享信息是 SSL 证书。

Answer 3

仅对于身份验证，任何基于公钥的密码术都可以作为替代方案。 您可以添加自定义 HTTP 请求标头，包括数字签名和对签名者证书的引用。 这将是一种完全专有的方法，但它可能适合您的需求。