哪些认证方法在不安全的HTTP通道上安全？

Question

是否存在任何在不安全通道上安全的认证协议？会话ID很容易被MitM劫持，所以使用哪种机制在不安全的HTTP信道上保证会话安全？

Answer 1

通过HTTP对服务器进行身份验证是有问题的，因为没有服务器证书，您无法确定您实际上是否与预期的服务器通信。而且，发送到服务器的任何凭证都易于甩掉。

话虽如此，一旦服务器和客户端通过安全通道交换密钥，就可以通过HTTP安全地使用身份验证协议。像Hawk或AWS signatures这样的协议不需要每个后续请求都使用HTTPS。