安全认证协议

我在寻找一个简单的身份验证协议（OpenID的，活动目录，??），用于用户登录到我的网站。它在Windows Azure上托管。高度的安全性是必需的。你可以推荐什么，为什么这个特殊的选择？安全认证协议

注：在这个时间点，我将不会使用SSL所以没有明文密码可以被传输。然而，我将在未来转换到SSL环境。

无SSL ==无“安全的高水平”。大部分身份验证协议都依赖于SSL。如果你不使用SSL，那么最好的办法就是实现公钥认证。 – 2013-03-01 00:59:59

那是你的网站/服务将横跨电线私下传输数据，敏感的，专有的，等等？如果是这样，那么您必须实施SSL才能防止任何拥有数据包嗅探器的人能够直接从线路中撷取数据。

为了执行安全认证，您将需要使用像SSL建立安全通信的传输上，你可以请求并从身份提供商接收SAML（或类似）的身份令牌。

如果您不使用SSL来保护您的通信，那么恶意第三方窃取身份令牌并伪装成经过身份验证的用户和/或记录/监控/修改您的任何用户的每个请求系统！

你有什么理由不使用SSL？

2013-03-01 01:11:44

回答