security - 在没有 SSL 的情况下保护密码身份验证

Question

我知道这是个坏主意，但我必须这样做。我大约需要 8 周的时间才能获得一台新服务器，我可以在其中运行 SSL 应用程序。因此，在接下来的 8 周内，我需要让别人很难窃听我的应用程序。

我的一个想法是，当用户输入他们的电子邮件地址和密码并单击登录时，我向数据库写入一个非常独特和随机的密码(可能是时间戳 + ip 地址)到他们登录旁边的“latestAttempt”列细节。当请求到达登录脚本页面时，它会检查该 IP 地址是否在最近 1 分钟内尝试登录。这至少应该证明登录详细信息来自登录页面。

我知道我无法阻止它，但我想让它变得困难。在我等待使用 SSL 的新服务器时，是否有任何其他方法可以暂时阻止窃听者？

更新

我明白为什么这个提议行不通，老实说，我什至不确定为什么它会出现在我的脑海中，这是一堆垃圾!

Answer 1

您提出的解决方案无济于事。 SSL 的目的是防止窃听密码，因为它是通过网络从浏览器发送到您的服务器的，并且没有任何时间戳/检查重复登录可以帮助阻止这种情况。

在没有 SSL 的情况下，您无能为力，即真正意义上的安全。在将密码发布到您的服务器之前，使用 javascript 对密码进行加密可能至少有一点帮助。如果您能找到一个实现真正加密算法的 javascript 库，最好使用公钥/私钥，因为加密方法是公开的。