在Phonegap中安全登录

Question

我正在创建一个Phonegap应用程序，该应用程序需要允许用户登录我们的中央身份验证服务。

我担心的是，由于电话上的文件是在本地加载的（通过file：//），因此没有像HTTPS连接那样的安全性。如果我将用户名和密码传递到我们服务器上的HTTPS位置，即使响应是这样，该请求也不会受到保护。

我不想使用ChildBrowser插件进行登录，因为似乎没有任何类型的事件冒泡会告诉我登录过程何时完成，并且因为并非所有平台都支持ChildBrowser插件。 / p>

使用非对称加密来加密使用公钥的用户名/密码组合并使用私钥在服务器上解密它似乎是合理的。不过，我似乎无法让任何javascript RSA库在后端使用Java。

对于保护Phonegap应用程序中用户密码的情况，非对称加密是否合适？有更好的解决方案吗？

如何使用Javascript实现此功能 - ＆gt; Java的？我一直在客户端使用ohdave.com/RSA脚本，但Java不想使用ohdave生成的密钥重新创建密钥。

感谢任何帮助。

Answer 1

我已经了解到，通过HTTPS请求身份验证Web服务将启动握手，允许使用SSL证书对凭据进行加密。

至于将凭证存储在手机上，我就是这样做的：

1. 使用基本授权标头中的Base64编码通过SSL发送凭据以登录webservice。
2. 成功登录响应包括使用服务器上的密钥加密的凭证AES。
3. AES加密凭据存储在手机上。
4. 通过在摘要授权标头中通过SSL将加密凭据发送到登录Web服务来处理未来登录。