Sistema di accesso sicuro senza SSL tramite Google OAuth

1

Ho lavorato alla creazione di un sito web per la mia scuola, ma con un budget basso, non volevano acquistare una licenza SSL. Quindi mi sono rivolto a Google OAuth in quanto avrebbe crittografato almeno il nome utente e la password. Funziona bene per una singola sessione, ma mi piacerebbe avere l'opzione di rimanere loggato a lungo termine.

C'è un modo sicuro di accedere nuovamente all'utente dopo aver chiuso e riaperto la finestra del browser e la sessione è scaduta? Ho preso in considerazione i token di aggiornamento, tuttavia se si memorizza un token di aggiornamento come cookie, è possibile trasferire tale token in un altro browser / computer e accedere all'account senza effettuare il login.

C'è qualcosa che posso fare per rendere il sistema più sicuro? Oppure è inutile perché puoi sempre trasferire l'ID di sessione PHP su un altro browser e ottenere in questo modo ...

    
posta Josh 04.09.2017 - 10:12
fonte

2 risposte

1

Se non hai il budget per acquistare un certificato SSL (anche se uno DV è estremamente economico), puoi sempre rivolgerti alle CA gratuite:

  • Let's Encrypt ti offre certificati DV gratuiti disponibili per 90 giorni, con rinnovo gratuito (in realtà utilizzo Let's Encrypt per il mio blog e ho impostato cron job per rinnovare il certificato ogni 80 giorni, ho lasciato 10 giorni come margine di riserva )
  • Cloudflare fornisce anche certificati gratuiti
risposta data 04.09.2017 - 14:40
fonte
0

Il punto è che ci sono molte alternative SSL gratuite che provengono da molte fonti. Mentre non nego che un SSL pagato (in teoria) abbia più credibilità, direi che non c'è motivo di non usarlo, considerando quanto sia facile ottenerlo e non costa nulla. Purtroppo, non ho abbastanza esperienza per rispondere alla domanda su Google OAuth.

    
risposta data 04.09.2017 - 12:31
fonte

Leggi altre domande sui tag