Szyny: Czy klejnot jest bezpieczny?

Question

Mam swoje uwierzytelnienie w mojej aplikacji internetowej działającej na klejnocie devise. Zastanawiałem się, czy to było bezpieczne. Tak, przechowuje hasła jako hashe w bazie danych, używa zaszyfrowanych tokenów po zalogowaniu itp. Ale jak w początkowej fazie logowania? Czy wysyła nieautoryzowane hasło użytkownika przez Internet (ja nie mam SSL)? Czy klient może zaszyfrować go za pomocą określonego klucza publicznego, który tylko serwer mógłby odszyfrować? Czy też SSL jest jedynym sposobem szyfrowania hasła użytkownika?

Dzięki!

Answer 1

"Należy pamiętać, że funkcja podstawowego uwierzytelniania HTTP przesyła nazwę użytkownika i hasło w postaci zwykłego tekstu, dlatego nie należy używać tej metody w aplikacjach, w których wymagany jest wyższy poziom zabezpieczeń."

http://pivotallabs.com/users/ledwards/blog/articles/1534-http-basic-authentication-and-devise

Answer 2

Jest bezpieczny, pamiętaj, że szyny używają authenticity_token. Nie słyszałem jeszcze o problemach.