中間者攻撃における資格情報の開示を緩和する方法

Question

次のシナリオがあり、安全なソリューションを探しています。

IISでホストされているWebアプリケーションがあります。接続はTLS 1.2を介して確立され、暗号化されます。

だからステップは

1. クライアントがSSL経由でサーバーに接続する

2. クライアントはユーザー名とパスワード（およびxsrfトークン）を送信します

3. サーバーはユーザーを認証し、暗号化されたCookieを作成します。

すべての通信がプロキシサーバーを介して行われている（たとえば、SSLインスペクションを使用している場合）企業環境にいると想定します。インスペクターが危険にさらされている場合（ これに基づいてかなり可能性があります ）、ユーザーは資格情報の盗難に対して脆弱です。

crypto binding solution について読みましたが、これは、クライアントがトラフィックの作成を停止した後、接続を存続させることができないようにMITMから保護するだけです。

Sslがこの方法で侵害されたときにユーザーのパスワードを保護する方法はありますか？

Answer 1

Secure Remote Password （SRP）プロトコルを使用して、暗号化されていないネットワーク経由で資格情報を送信できます。

また、プロキシがWebサーバーへの接続を確立できないようにするSSL/TLSクライアント認証を要求することもできます。