基本的なHTTP認証の賛否両論

Question

Basic HTTP認証を使用するREST APIを作成しました。 IsはSSLのみに制限されています。 SSLの基本的なHTTPが安全でないという批判を受けています。私が "プレスを止める"というプロジェクトにとっては有害で、OAuthなどを使用するクライアントのスキルの範囲外になるでしょう。私はこの方法のリスクと報酬を理解する必要があります。 Basic HTTP authを使用するビッグネームの例は、サポートとしても役立ちます。

Answer 1

SSLによる基本的なHTTP認証は、基本的に安全です。セキュリティの問題は、基本認証（ SSLなし）が主に発生します。この場合、ユーザー名とパスワードはMITMに公開されます。ブラウザでは、資格情報の期限切れにも問題がありますが、これはRESTサービスの問題ではありません。

Answer 2

私は誤解しているかもしれませんが、SSLのみで問題は発生しません。ステートレスなAPIではありません。
発信者がSSLスニッフィングプロキシを使用するように強制された場合、BASICは、パスワードがプロキシに平文で利用可能であることを意味します。この特定のケースでは、プロキシは、パスワード（ダイジェストはチャレンジレスポンスを意味します）。