SSL证书认证

我们有一个HTTP端点，其中发布的表单请求包含来自第三方https网站的交易数据。SSL证书认证

我们正在研究HTTP端点可以包含代码的方式，以检查发布请求的主机是否为第三方网站，而不是其他人（即黑客）。

我们的HTTP端点可以通过发布表单请求的网站进行身份验证吗？也许通过SSL证书认证？

非常感谢提前。

2014-09-12 Rhydian

通过他们的服务器从第三方发布邮件，以便锁定到他们的IP范围并让他们用HMAC签署请求并共享键。 – 2014-09-12 16:16:13

为了保证另一方的服务器是他们说的他们最安全的方法是让他们使用SSL证书。如果他们也需要相信你是谁，那么每一方都应该拥有自己的SSL证书。

评论中提供的IP范围解决方案可能是一种可能的黑客攻击，但它非常脆弱，无法应用于非常严重的环境中。

共享密钥解决方案将工作并且可靠，但您必须不时更换密钥，具体取决于两台服务器之间的通信量。

希望这会有所帮助。

2014-09-12 16:23:03 bitoiu

使用消息级安全性而不是传输级安全性（SSL/TLS）可能会更好。

第三方网站将使用其证书（或者确切地说，使用与其证书相匹配的私钥）对消息进行签名，并且您的网站将验证此签名。

这可以允许该消息被用户的浏览器中继，而不需要两个服务器之间的直接连接。

这种机制已经存在于身份管理领域，例如SAML和Shibboleth。（您仍然可以在服务器之间建立直接连接，以获取更多信息。）

2014-09-12 16:52:04 Bruno

回答