c# - SSL 是从远程到网络服务器交换信息的唯一途径吗？

Question

我是独立游戏开发团队的一员，我们正在使用 Unity (C#) 开发一个项目。我在后端 (PHP/MySQL) 使用 Drupal，我想从数据库中检索数据到我们的软件。

因此，例如，如果我希望用户通过 Drupal 的身份验证(发送密码的服务器端散列)登录，则用户首先需要通过 unity WWWForm 或 c# HttpRequest(客户端)提交他的用户名和密码。

如果我研究得当，可以通过三种方式安全地发送数据(如果我错了，请纠正我):

1. 实现自己的密码加密/解密(在服务器端解密后使用 Drupal 的密码散列)
2. 在 c# 中实现 drupal 的哈希方法(客户端)
3. 购买 SSL 证书并使用 HTTPS

可以嗅探 HTTP 连接或反编译软件，对吗？那么可能性 1) 和 2) 是否有意义？这两种方法中的一种是否足够安全？

SSL 是我们唯一的出路吗？

Answer 1

1. Implement own password encryption/decryption (use Drupal's password hashing after server side decryption)
2. Implement drupal's hashing method(s) in c# (client)

这些方法的问题是客户端散列版本实际上变成了密码。因此，如果 MITM 获取了散列版本，他们可以简单地重放它以登录。

3. Buy SSL certificate and go with HTTPS

当然。除了加密之外，HTTPS 还可以确保客户端正在与您的服务器通信，并且没有经过中间人攻击，它还可以防止重放攻击(攻击者从他们自己的连接中重新创建登录请求，然后根据响应采取行动).