Service REST via SSL et l'authentification de base HTTP

Question

Dans Securing an API: SSL & HTTP Basic Authentication vs Signature L'authentification HTTP de base est citée comme un moyen adéquat de sécuriser les appels de service Web REST si les appels REST sont effectués via SSL.

Mais il semble que cette méthode ne fonctionne toujours pas pour une page client non sécurisée qui utilise Ajax pour effectuer des appels au service REST qui est protégé derrière SSL & Basic Auth.

Je suis en train de concevoir une application qui effectue un mot de passe remis à zéro en utilisant la manière habituelle:

1. utilisateur entre le nom d'utilisateur et demandes par courriel
2. utilisateur « reset mot de passe » reçoit l'email avec un lien de réinitialisation de mot de passe qui comprend un jeton vérifiable
3. utilisateur clique sur le lien et (après le jeton est vérifié) types dans leur mot de passe mis à jour

Par définition, ces pages ne pas nécessitent une connexion. Cette interface utilisateur peut-elle être implémentée à l'aide d'Ajax qui appelle les services REST pour effectuer des tâches telles que la validation de jeton, l'envoi d'e-mails, etc.? Même si ces services REST sont protégés par SSL & Basic Auth, les informations dont vous avez besoin pour appeler le service (c'est-à-dire le nom d'utilisateur et le mot de passe de l'application ) seront au mieux dans les cookies accessibles via le navigateur.

Je sais qu'il me manque quelque chose. Je ne sais pas ce que :-)

Answer 1

Je n'ai aucune idée de ce que vous protégez donc je vais juste jeter quelques pensées.

SSL et TLS ne sont pas significatifs si vous (ou quelqu'un d'autre qui émet un appel) ne contrôlez pas la liste racine de la partie de confiance. Je dis cela parce que je m'attends à ce que si vous ne faites pas confiance au gars avec la clé de la serrure alors vous ne mettrez pas votre argent dans son coffre-fort. Donc, si les utilisateurs qui téléchargent les pages de connexion sont dans la nature pour ainsi dire, l'utilisateur/passer par TLS est une barre basse, certainement assez bon pour protéger ma liste de films préférés.

Carby loue à tout être EFM

Answer 2

Tant que de 1 - 3 arrive sous SSL, les données seront en sécurité sur le fil au serveur (en supposant que vous faites confiance à l'autorité de certification)

Au cours de cette processus, le navigateur tiendra ces informations d'identification en mémoire. Vous n'avez pas d'autre choix que de croire que si l'utilisateur va entrer les données.

C'est le code des sites Web qui détermine s'il faut stocker des informations dans les cookies.

Je pense que vous devriez être OK si 1 - 3 sont sous SSL.