Security 没有HTTPS我如何提供一些安全性？

第一：我知道HTTPS是HTTP+SSL。我知道SSL是通过Internet连接安全发送信息的唯一正确选项。我的问题涉及这样一种情况：SSL不是选择，加密不是必需的，但无论如何都是需要的

第二：这不是复制品。诸如的问题描述了其他方法的问题，但没有具体说明，当加密用于教育目的时，可以将其作为下一个最佳选择

作为课外互联网安全研究的一部分，我想创建一个使用用户档案并允许用户通过密码登录的网站。本网站不接受信用卡信息，不会持有敏感的个人信息，一般来说，也不会是一个值得窃取个人信息的网站。 出于这个问题的目的，我会编造一些东西，说这个网站只是保存了一个人最喜欢的电影。出于这些原因，我不想使用SSL

但是，我确实希望使用其他加密。我知道加密是没有必要的，因为在实践中没有人会试图窃取一个网站的帐户，该网站只保存某人最喜欢的电影的信息。其目的纯粹是为了教育，看看SSL背后的下一个最安全的选项有多安全。 如上所述，我知道SSL是唯一真正安全的连接

问题：鉴于我所描述的情况，提供“某种程度上安全”的连接有哪些选项？网站能否使用IPsec来保护连接，和/或使用类似质询响应的方式

先谢谢你

---

编辑：我需要对所有流量进行加密，而不仅仅是登录

您需要一些构建块：

• 您不能在站点中使用经典表单提交和HTTP链接，但必须通过AJAX运行所有请求
• 在发送AJAX请求之前，必须加密：为您提供了一个很好的指向如何与PHP对话的指针
• 在从PHP发回回复之前，必须对它们进行加密，然后在JS中解密

---

这工作很好，我经常使用它-它提供了一个简单的替代方案，HTTPS的一些方面（我认为根本上是坏的）

请澄清：您想要加密所有的流量，还是只希望没有HTTPS的安全登录？啊。好问题。对所有流量进行加密。你自己说过内容不敏感，那么为什么要对所有内容进行加密呢？听起来您真正需要的只是在登录期间加密用户凭据，而标准HTTP已经通过其

授权

和

WWW-Authenticate

头来支持这一点。使用像NTLM或Kerberos这样的安全身份验证方案，这两种方案都使用质询-响应模型。我没有任何特别好的理由选择“加密所有流量”，除了好奇的反应，因为这似乎是两者中比较困难的任务。您的技术比HTTPS更糟糕，因为没有身份验证步骤。@EJP-是什么阻碍OP使用相同的方法发送登录请求？@EugenRieck EJP谈论的不是登录，而是验证服务器。这是SSL/TLS（以及SSH和其他一些技术）的基石。在不检查服务器真实性的情况下，您的方案会受到中间人攻击，并且会被轻易破坏。@EugeneMayevski'EldoSCorp，这就是为什么我说“HTTPS某些方面的简单替代方案”。这就是说，服务器的身份验证是HTTPS中最脆弱的部分，它依赖于一个信任链，该信任链不可信且不可验证。SSL/TLS中的身份验证本身既不脆弱也不可验证。某些特定的配置可能是，但不是全部。在你的情况下，你有一个被设计破坏的计划。