Cita:
Empezado por dec
Hola,
Hasta donde yo llego, este tipo de tareas de autenticación, no deben dejarse nunca en el lado del cliente, sino en el del servidor. El cliente debería poder proporcionarte ciertos datos, como suelen ser un "login" de usuario y una contraseña, y el servidor verá qué respuesta ofrece a eso: o bien considera autenticado al usuario o no. Otra cosa es que puedas transmitir los datos, si hablamos de HTTP, mediante HTTPS, o sea usando una conexión "cifrada" (no sé si es correcto, porque no tengo experiencia), pero, me temo que esto ya es otro tema. Igual es que no he sabido entender lo que planteas. Tú dirás.  |
Hola,
Gracias por contestar.
Sí, quizás no me he explicado bien. Empecemos por aclarar algo en lo que estas malinterpretando mi problema, y lo hago en detalle por mayor claridad de otros que lean el hilo:
Una cosa es la autenticación del usuario; es decir, validar que el usuario exista, que su clave sea la correcta, lo permisos a tener y como vá acceder de ahí en adelante. Eso, como bien dices, queda en el lado del servidor, y por supuesto siempre lo he hecho así. Otra cosa muy diferente es el manejo de como enviar al servidor los datos de autenticación del usuario.
El caso es que esos datos, al menos el password, deben ser enviados encriptados desde el cliente; es decir, en el cliente debe ejecutarse una rutina que reciba los caracteres digitados por el usuario y los encripte, en el cliente, para enviarselos al servidor ya encriptados.
Encriptar es algo en lo que no tengo problemas, ya que con frecuencia escribo algoritmos de encriptación. Mi problema es que con html el paradigma de manejo de esas rutinas es bien diferente a Delphi.
En Delphi tengo un ejecutable propio corriendo en el cliente. Descifrar una rutina de encriptación ubicada dentro de un ejecutable grande, compilado sin ninguna información de depuración y sin siquiera nombres de variables o de la rutina, que den una pista de su ubicación, aunque no imposible, es sumamente dificil ya que requiere conocimientos muy avanzados y tiempo.
En html, el principio es el mismo: Debo encriptar con mis propios algoritmos ejecutandose en el cliente. Sin embargo, hay una gran diferencia: El código que lee el cliente para desplegar la página donde voy a leer los datos se envía como texto, por tanto, abierto a cualquiera con medianos conocimientos. Mi problema es como hago para ubicar mi rutina en el cliente de tal forma que pueda tener una seguridad razonablemente buena.
Para ello, mi idea es que la rutina llegue compilada al Navegador Web del cliente; pero, como lo hago?, y lo más básico, en que lenguaje lo escribo ?