Я разрабатываю схему аутентификации для веб-службы REST. Это не «действительно» должно быть безопасным (это скорее личный проект), но я хочу сделать его настолько безопасным, насколько это возможно, как упражнение / учебный опыт. Я не хочу использовать SSL, так как я не хочу хлопот и, в основном, затрат на его настройку.

Эти вопросы были особенно полезны, чтобы начать меня:

RESTful-аутентификация

Аутентификация Amazon S3 (Мне нравитсяOAuth но это кажется слишком сложным для моих нужд). Я добавляю случайно сгенерированныйданное время, предоставленные сервером, на запрос, чтобы предотвратить повторные атаки.Чтобы добраться до вопроса:

И S3, и OAuth полагаются на подпись URL запроса вместе с несколькими выбранными заголовками.

Ни один из них не подписывает тело запроса для запросов POST или PUT. Разве это не уязвимо для атаки «человек посередине», которая сохраняет URL-адрес и заголовки и заменяет тело запроса любыми данными, которые хочет атакующий?Кажется, что я могу защититься от этого, включив хэш тела запроса в строку, которая подписывается. Это безопасно?

Amazon S3 может включать Content-MD5 как часть строки заголовка, чтобы предотвратить описанную вами атаку MITM.