python - 现代客户端/服务器身份验证技术

Question

我正在构建一个使用 HTTP 进行通信的非浏览器客户端-服务器 (XULRunner-CherryPy) 应用程序。我现在考虑的领域是用户身份验证。由于我没有足够的安全知识，我更愿意使用久经考验的方法和现成的库，而不是尝试自己发明和/或构建一些东西。

我最近读了很多文章，我可以说我只剩下很多挫败感，其中大部分是由 this 贡献的和 this博客文章。

我认为我需要的是:

• 在数据库中安全存储密码(自适应哈希？)
• 用户凭据的安全有线传输(摘要式身份验证？SSL？)
• 后续请求的安全 token 认证(对此不确定)

所以问题是:实现此功能的现代(最好是 headless 痛)技术和/或库是什么？ (不会存储敏感信息，例如信用卡号)。

我一直在关注 OAuth，他们有一个新的修订版，他们强烈建议使用。问题是文档仍在开发中，并且没有实现新修订版的库(？)。

Answer 1

这可能不是一个完整的答案，但我想提供一些关于彩虹表和网络的令人放心的消息。由于以下原因，我不会太担心 Rainbow Tables 在网络方面的作用:

(1) Rainbow table 通过检查散列密码来破解工作。在 Web 上，散列密码存储在您的数据库中，因此即使考虑使用彩虹表，首先也需要破解您的整个数据库。

(2) 如果您使用 salt正如大多数密码存储系统所做的那样，彩虹表很快就变得不可行了。基本上，盐会在给定密码的末尾添加一系列额外的位。为了使用彩虹表，它需要在每个明文密码中容纳额外的位。例如，您向我们展示的第一个链接有一个彩虹表实现，可以破解最多 14 个字符的密码。因此，如果您有超过 14 个字节的盐，则该系统将毫无用处。