Sistema de inicio de sesión seguro sin SSL a través de Google OAuth

1

He estado trabajando en la construcción de un sitio web para mi escuela, pero con un presupuesto bajo, no querían comprar una licencia SSL. Luego me dirigí a Google OAuth porque al menos cifraría el nombre de usuario y la contraseña. Esto funciona bien para una sola sesión, pero me gustaría tener la opción de permanecer conectado a largo plazo.

¿Hay alguna forma segura de volver a iniciar sesión en el usuario después de haber cerrado y vuelto a abrir la ventana del navegador y la sesión ha caducado? He considerado los tokens de actualización, sin embargo, si almacena un token de actualización como una cookie, puede transferir ese token a otro navegador / computadora y obtener acceso a la cuenta sin siquiera iniciar sesión.

¿Hay algo que pueda hacer para que el sistema sea más seguro? O es inútil de todos modos porque siempre puedes transferir el ID de sesión de PHP a otro navegador y así ...

    
pregunta Josh 04.09.2017 - 10:12
fuente

2 respuestas

1

Si no tiene el presupuesto para adquirir un certificado SSL (incluso si el DV es extremadamente barato), siempre puede recurrir a CA gratis:

  • Let's Encrypt le ofrece certificados DV gratuitos disponibles durante 90 días, con renovación gratuita (en realidad uso Let's Encrypt para mi blog, y configuro el trabajo cron para renovar el certificado cada 80 días, dejé 10 días como margen adicional )
  • Cloudflare también proporciona certificados gratuitos
respondido por el avhincu 04.09.2017 - 14:40
fuente
0

La cuestión del hecho es que hay muchas alternativas SSL gratuitas que provienen de muchas fuentes. Si bien no niego que un SSL pagado (en teoría) tenga más credibilidad, diría que no hay razón para no usarlo, considerando lo fácil que es obtenerlo y no cuesta nada. Desafortunadamente, no tengo suficiente experiencia para responder la pregunta en Google OAuth.

    
respondido por el Josh Ross 04.09.2017 - 12:31
fuente

Lea otras preguntas en las etiquetas