«Пожалуйста, не говорите мне использовать HTTPS, это не достаточно, чтобы обеспечить передачу данных на клиенте - серверное приложение»
Ну, извините, но это точно, что я собираюсь делать. SSL гораздо безопаснее, чем все, что вы можете сделать с JavaScript. С помощью non-SSL вы отправляете clear-text клиенту/серверу, то есть, если я вижу пакеты, человек в средней атаке (например, вы находитесь в моем кафе, мой беспроводной маршрутизатор) - не так сложно , Как вы делали что-нибудь более безопасное в JavaScript?
Вы отправляете все ключи взад и вперед по текстовому соединению, отрицая точку безопасности, которую, по вашему мнению, добавляет. Это похоже на добавление дополнительной затычки в вашу входную дверь, делает ли это более безопасным? Не совсем, потому что вы просто дали мне копию ключа :)
Является ли SSL идеальным? No, были обнаружены дыры, как и все остальное. Это способ более безопасен, чем любое шифрование, где ключи свободно видны, например. JavaScript через незашифрованное соединение? Да.
jCryption, о котором вы упоминаете, не является заменой для SSL, вам не нужно верить, хотя, look at the comments from it's author, просто прокрутите страницу вниз.
Это правда, что он уязвим для атак MITM, но я упомянул, что jCryption в его текущем состоянии не предлагает никакой аутентификации и что он не заменяет SSL. jCryption должен быть простым в установке плагином, который обеспечивает базовый уровень безопасности.
Или read the FAQ itself:
На мой взгляд jCryption гораздо проще в установке и настройке. Хотя я не думаю, что jCryption является заменой для SSL. Это может быть приятная добавка для вашей контактной формы или страницы входа, чтобы сделать ее более безопасной. Если вам нужна максимальная безопасность, вы должны использовать SSL, потому что jCryption не предлагает никакой аутентификации.
На самом деле jCrypton делается для поддержки приложений/серверов, которые не имеют SSL способности и не не заменить его ... Кроме того, многие пользователи сообщают он не работает. – eugeneK
не возражаете, если я спрошу, что вы подразумеваете под «недостаточно для обеспечения обмена данными на клиентском сервере», html не шифруется jCryption, а только исходящие данные, которые, как я понимаю, являются тем, что SSL для вас. –
HTTPS более чем достаточно. Это более безопасно, чем все, что вы можете создать с помощью ваших библиотек JavaScript. Это jCryption не аутентифицируется. Он не шифрует заголовки HTTP (с конфиденциальной информацией о сеансе), и, фактически, сама библиотека отправляется в текстовом формате. – Tower