security - 断言纯 RESTful 应用程序需要 HTTPS 是安全的是否正确？

Question

考虑到对于纯 REST，来自客户端的每个资源请求都携带身份验证信息，在我看来，防止重放或复制粘贴攻击的唯一方法是要求 REST 请求在受 HTTPS 保护的 channel 内运行.

这个说法正确吗？

Answer 1

错了。每个请求都带有身份验证的事实并不意味着可以重播请求。 HTTP DIGEST可用于身份验证，而摘要式身份验证不能被重播，因为来自服务器的质询将在每个连接上携带不同的随机数，并且客户端不能重复使用随机数:

• Server nonce is allowed to contain timestamps. Therefore the server may inspect nonce attributes submitted by clients, to prevent replay attacks.
• Server is also allowed to maintain a list of recently issued or used server nonce values to prevent reuse

要求 HTTPS 本身并没有什么坏处，它当然增加了对流量的隐私和篡改保护，但它不是防止重放和复制粘贴攻击的必需。