Diman
Чайник без крышки | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата:| Думаю, имеет смысл предоставить возможность входа на форум по SSL, по крайней мере, чтобы не светить пароль в plain-text. |
Присоединяюсь. Во всяком случае, стоит обдумать.
Хотя, форум для авторизации использует куки, которые тупо голым текстом передаются при каждом запросе, а для авторизации через SSL, с последующим выходом из защищенного режима, надо бы через идентификатор сессии, тогда это будет более безопасно. А если все время сидеть в защищенном режиме, ИЕ будет матюгаться насчет Insecure Items. Короче, потребуется доработка системы авторизации. Охота ли хозяевам этим заниматься...
DimoN
Цитата:| а держать форум в двух местах имеет смысл? |
Звиняюсь, но ты немного неправ Все прекрасно делается безо всяких двух мест. Есть два варианта -
1) оставить все как есть, SSL или нет - контент один и тот же. Но на паге неизбежно будут ссылки на сторонние сайты, при этом броузер будет ругаться (см. выше) Это не канает.
2) переработать систему авторизации. юзер в защищенном режиме сабмитит пароль и ему в куки дается не логин/пароль, а идентификатор сессии, который, опционально, действителен только с заданного IP, а угон его третьими лицами ничего не дает. Вот тогда будет (до определенной степени) безопасно, и уж точно безопаснее чем сейчас. После получения идентификатора происходит выход из защищенного режима через редирект в обычный режим. Такая схема (насколько я вижу) используется, например, на Hotmail.
Однако, реализовать это - огромный гимор, потребуется капитальная переделка.
3) кто знает еще вариант?
Скромнейшее ИМХО. Могу заблуждаться. Ответственности не несу. |
