什么时候不使用两种方式进行SSL认证验证

Question

我有一个基于Java的后端应用程序，仅执行读取操作。后端的工作方式是用户放置一个客户唯一标识符，并从该标识符开始。它返回客户的信息。该后端应用程序仅由公司内部团队调用。这导致我问什么时候不使用SSL认证验证？仅由公司内部团队调用的此应用程序需要两种方式的SSL认证吗？

Answer 1

这与Java无关。在很大程度上取决于您公司的安全政策。

如果客户信息在公司内部公开，则完全不需要身份验证。如果它不是公共的，则需要身份验证。 （因此您的后端可以检查用户是否有权查看该信息）

通常，贵公司将根据其机密性等级规定访问信息所需的安全等级。

更新几个想到的原因（使用或不使用SSL）

不使用SSL的唯一原因（例如“强烈尝试避免使用SSL”）是

• 如果您具有高度依赖速度（实时）的通信，并希望不惜一切代价避免这种开销

使用它的原因（如今，您应该始终至少使用HTTPS）

• 这样，浏览器就知道正在和谁说话（避免中间人）
• 通过这种方式对传输进行加密（可能有人在线路上安装了侦听器）

使用身份验证和检查用户是否被授权的原因：

• 将来，数据分类可能会发生变化（例如，并非所有员工都可以看到该数据）=>而不是更改应用程序，只需更改权限分配即可。

PS：再添加一件事：

• 身份验证方法（基本vs.客户端证书vs.其他方法）仍然取决于用例和机密性分类