C'è un nuovo * keygen elemento nella specifica html5 . È supportato nei principali browser ad eccezione di Internet Explorer e Safari.
Ecco come appare:
<form action="processkey.cgi" method="post" enctype="multipart/form-data">
<p><keygen name="key"></p>
<p><input type=submit value="Submit key..."></p>
</form>
Le implementazioni correnti supportano solo RSA come attributo keytype .
Ora la mia domanda, quali cose utili posso fare con esso? A cosa serve?
*: non proprio
L'uso ovvio è l'autenticazione del client. Può essere usato per migliorare la sicurezza in combinazione con una passphrase o una smartcard, o per essere un comodo sostituto per l'inserimento di una password.
Il protocollo di identificazione singola WebID è una proposta interessante in questo contesto.
Il problema principale con i certificati client è che è associato al browser. Quindi, se sei su un altro computer, non puoi accedervi se non hai preso precauzioni.
Penso che potrebbe essere usato per mitigare il dirottamento di sessione. Un server potrebbe autenticare un client e quindi, prima di prendere input da un client, il server potrebbe eseguire un controllo sul client. La specifica consente anche di generare una chiave pubblica e una sfida. Prima di inviare informazioni importanti in un modulo, sarebbe bello poter riautenticare il server.
Leggi altre domande sui tag client-side web-application key-management appsec html-5