1С-Бітрікс - Безпечна авторизація без SSL

1. Проблема передачі пароля у відкритому вигляді
2. Як все працює?
3. Чи не «вантажить» чи авторизація сервер?
4. Де включити?

Наша взаимовыгодная связь https://banwar.org/

Паролі з форми авторизації неможливо зламати, оскільки вони шифруються по алгоритму RSA з ключем 1024 біт і в такому вигляді передаються на сервер. При цьому не важливо, які з'єднання і протоколи використовують відвідувачі вашого сайту.

Проблема передачі пароля у відкритому вигляді

Коли користувачі авторизуються на сайті в кафе, торговельних центрах, аеропортах - з незахищеною середовища, підключаючись по відкритому (WiFi) або навіть слабошіфрованному з'єднанню, для зловмисників не важко перехопити пароль і потім використовувати його в своїх цілях. Виходом є використання захищеного з'єднання по протоколу SSL . Але клієнти рідко встановлюють SSL-сертифікати на свої сайти - в більшості випадків через складність самої організації такого підключення.
Фахівцями відділу безпеки «1С-Бітрікс» розроблена власна методика безпечної аутентифікації. Завдяки цій методиці, паролі ніколи не передаються по Мережі у відкритому вигляді. Проблема передачі пароля по Мережі у відкритому вигляді вирішена.

Як все працює?

Безпечна аутентифікація з шифруванням пароля дозволяє уникнути передачі пароля у відкритому вигляді. Ім'я та пароль, які користувач вводить в форму авторизації, шифруються в браузері і відправляються в такому вигляді на сервер. «По дорозі» ці дані не можна розпізнати і розшифрувати, оскільки для шифрування іспользуюется криптостійкий алгоритм RSA з ключем 1024 біт, практично не піддається злому.
Схема безпечної авторизації:

• Закритий і відкритий ключі (генерація на сервері)
• Шифрування пароля на клієнті RSA тисячі двадцять чотири bit
• Передача в закритому вигляді по каналах зв'язку - кожен раз нове значення
• Дешифрування пароля на сервері
• Не змінюється безпечне зберігання пароля в Базі Даних на сервері

Чи не «вантажить» чи авторизація сервер?

Може виникнути питання: «А чи не нагрузить чи безпечна авторизація сервер? І чи не позначиться це на часі авторизації користувача? »Дійсно, при шифруванні / розшифровці пароля на клієнті (JavaScript, RSA +1024 bit) працює досить складний алгоритм, що вимагає значних системних ресурсів. На сервер, звичайно ж, навантаження додасться, але вона адекватна і оптимізована розробниками «1С-Бітрікс» по максимуму.
Користувач при авторизації не відчує ніяких «гальм». Більш того, він навіть не помітить, що в процесі входу на сайт щось змінилося. Всі інструменти, які використовувалися раніше для авторизації, продовжать працювати. Наприклад, якщо для входу на сайт використовувався складовою пароль, користувач буде як і раніше вводити сам пароль + код, отриманий, скажімо, з брелка eToken.

Де включити?

• Активізувати опцію «Передавати пароль в зашифрованому вигляді»
• Згенерувати ключ, натиснувши на однойменну кнопку

У формі авторизації на вашому сайті з'явиться «замочок». Це означає, що механізм безпечної авторизації включився, і всі паролі тепер під замком!
Для генерації ключа за допомогою OpenSSL потрібно правильна настройка шляху до файлу openssl.cnf. Ви можете скільки завгодно разів генерувати і отримувати новий ключ.