[XML-RPC] authenticatie zonder SSL

[Ybox]

Ik ben bezig met een C# -> PHP connectie via XML-RPC. Nu heb ik helaas alleen geen SSL tot mijn beschikking om de data te securen.

Nu vraag ik mij af hoe ik de authenticatie kan gaan regelen.
Zelf had ik algevonden hoe de rest secure te krijgen, dat is niet zo heel lastig is gewoon via een session_id die je door geeft en eventueel de gegevens encrypt met een losse blowfish encryptie.

Maar om deze sessie te verkrijgen moet ik toch eerst de authenticatie te doen. Ik kan dus gewoon op de server een authenticatie methode oproepen, maar hoe krijg ik dan het password secure over de lijn ? md5 hash niet echt een optie omdat de hash niet veranderd natuurlijk, nu kan ik eerst wel om een salt vragen maar daar schiet je wel iets maar niet veel mee op.

Iemand een idee ?

[eamelink]

Waarom schiet je niet veel op met een salt?

Jij request een salt
Server stuurt 'blaapsie'
Jij stuurt de hash van het wachtwoord + salt
Server controleert de hash van het wachtwoord + salt

Dat moet toch goed gaan?

Overigens zou ik persoonlijk een algoritme als SHA1 gebruiken in plaats van MD5, dat is wat geschikter

[Ybox]

Ja maar de salt gaat toch gewoon weer als text over het internet ?

Ik vraag me nu alleen ff af hoe simpel een het is om de som natuurlijk op te lossen:
salt. (x/+:) wachtwoord = md5 hash

Met genoeg salts wordt het alleen maar gemakkelijker ...

Maar totnu toe is dit de beste oplossing , bedankt iig

[eamelink]

De salt gaat inderdaad plaintext over het internet. Maar dat maakt niet uit, omdat je met het salt alléén niets kan. Je hebt ook het wachtwoord er bij nodig.

En het salt laat je natuurlijk steeds random genereren, dus 'genoeg salts' heb je sowieso wel

[flashin]

Is het een 1-op-1 connectie? Dus van de server naar 1 bepaald ip of zijn het er meer?
Want dan kun je gewoon het ene ip access geven en de rest niet. Dit zie je ook veel bij services icm SOAP bijv.