Аутентификация без использования сервера

Question

Я ищу идеи для аутентификации пользователя без обычной поездки на сервер. Любой полузащищенный способ аутентификации пользователя на стороне клиента является приемлемым.

Я думаю, что хранить некоторый зашифрованный секрет в js-файле, тогда только пользователи, у которых есть правильный код, смогут его расшифровать, а правильный код может быть введен или сохранен в файле cookie или что-то в этом роде. Звучит неплохо или любые другие идеи?

Answer 1

Возможно, вы можете сохранить хэш пароля и зашифровать разумный исходный код JS приложения, чтобы оценить его, когда пользователь «аутентифицирован» с помощью правильного ключа?

См. Статью this о методе Google, касающемся обработки javascript. Использовать зашифрованный исходный код строки javascript, и вы защищены на стороне клиента?

Answer 2

Посмотрите на oauth на стороне клиента javascript. Искать google только для клиентской стороны oauth.

К примеру, это - https://developers.google.com/accounts/docs/OAuth2UserAgent

Answer 3

Я думаю хранить некоторый зашифрованный секрет в файле JS, то только пользователи, которые имеют правильный код будет в состоянии расшифровать его, и правильный код может быть введенным или сохраненным в файле cookie или что-то в этом роде.

То, о чем вы просите, определенно возможно, но я не уверен, что это действительно будет полезно для вас.

Вам необходимо использовать функцию вывода ключа, такую ​​как PBDFK2 («Функция деривации ключа на основе пароля 2»). Пользователь вводит пароль, затем KDF преобразует пароль в ключ. Затем вы используете ключ для работы сильного симметричного шифра, такого как AES (и убедитесь, что используете безопасный режим работы, например CBC). Этот подход достаточно безопасен, но он по-прежнему уязвим для ключевых регистраторов (уровень ОС и уровня браузера) и проверки состояния памяти.

Важным моментом здесь является то, что пользователь должен ввести пароль, чтобы зашифровал секрет в первую очередь. Вы не можете отправить пользователю секрет, а затем потребовать пароль. Пользователь может использовать пароль для шифрования сообщения, а затем для этого потребуется пароль для будущего доступа.

В качестве альтернативы вы можете самостоятельно выбрать пароль, сгенерировать ключ и зашифрованные данные, а затем отправить свой выбранный пароль (вместе с зашифрованными данными) пользователю, чтобы он запоминал или хранил безопасно.

Практически говоря, CryptoJS - это реализация JavaScript, которая поддерживает как AES, так и PBKDF2.